SSL vs TLS

SSL (Secure Sockets Layer) y TLS (Transport Layer Security) son, en esencia, la misma tecnología en distintas etapas de su evolución: TLS es literalmente el sucesor y reemplazo oficial de SSL, no un protocolo independiente. Sin embargo, el nombre "SSL" se quedó tan arraigado en el lenguaje común —"certificado SSL", "conexión SSL"— que se sigue usando coloquialmente incluso cuando técnicamente ninguna conexión moderna usa ya SSL real.

SSL fue creado por Netscape en los años 90 para cifrar las comunicaciones web. Pasó por varias versiones (SSL 1.0, nunca publicada por fallos graves; SSL 2.0 y SSL 3.0) hasta que se descubrieron vulnerabilidades serias, la más conocida el ataque POODLE en 2014, que permitía a un atacante descifrar partes de la comunicación explotando debilidades del propio protocolo. Como consecuencia, SSL 3.0 quedó formalmente deprecado y todos los navegadores modernos lo deshabilitaron por defecto.

TLS retoma el testigo a partir de 1999 bajo la estandarización del IETF (Internet Engineering Task Force), con mejoras sucesivas: TLS 1.0, 1.1, 1.2 y la versión actual, TLS 1.3 (2018). Cada versión ha ido eliminando algoritmos criptográficos débiles, simplificando el proceso de negociación (handshake) y reduciendo la superficie de ataque. TLS 1.2 sigue siendo ampliamente soportado y considerado seguro si está bien configurado, mientras que TLS 1.3 además reduce la latencia del handshake inicial, acelerando la primera conexión HTTPS.

En la práctica, cuando hoy alguien habla de "certificado SSL" o "verificar el SSL de un dominio", se está refiriendo realmente a un certificado X.509 usado dentro de una conexión TLS. La compatibilidad de nombres es puramente histórica. Lo importante al auditar la seguridad de un sitio es comprobar qué versión de TLS soporta (idealmente 1.2 como mínimo, con 1.3 disponible) y que no acepte conexiones SSL antiguas, algo que herramientas de comprobación de certificados pueden verificar directamente contra el servidor en producción.