SSL / TLS Checker

El término SSL (Secure Sockets Layer) se sigue usando de forma coloquial, pero en realidad quedó obsoleto hace años: desde 2018 todo el tráfico cifrado web utiliza TLS (Transport Layer Security), su sucesor directo, actualmente en las versiones TLS 1.2 y TLS 1.3. Cuando hablamos de "certificado SSL" o "comprobar el SSL de un dominio" nos referimos, en la práctica, a un certificado TLS. El nombre antiguo sobrevivió por costumbre en la industria, aunque protocolarmente SSL lleva mucho tiempo desaconsejado por vulnerabilidades conocidas.

Al conectar con un sitio HTTPS, el navegador y el servidor realizan un handshake TLS: negocian la versión del protocolo y los algoritmos de cifrado a usar, el servidor presenta su certificado, el navegador lo valida, y ambas partes generan claves de sesión simétricas para cifrar el resto de la comunicación. Este proceso ocurre en milisegundos antes de que se cargue cualquier contenido de la página, y es lo que garantiza que los datos viajen cifrados e inalterados entre el usuario y el servidor.

La validez de un certificado depende de una Autoridad de Certificación (CA) que lo firma digitalmente, formando una cadena de confianza hasta un certificado raíz preinstalado en el sistema operativo o navegador. Existen tres niveles de validación: DV (Domain Validation, solo confirma que controlas el dominio), OV (Organization Validation, verifica también la identidad de la empresa) y EV (Extended Validation, el nivel más riguroso, con verificación legal completa de la organización). Servicios como Let's Encrypt han popularizado los certificados DV gratuitos con renovación automática cada 90 días mediante el protocolo ACME, lo que ha hecho que HTTPS sea prácticamente universal en la web actual.

Además del certificado en sí, la cabecera HSTS (Strict-Transport-Security) refuerza la seguridad indicando al navegador que solo debe conectarse a ese dominio por HTTPS durante un periodo determinado, incluso si el usuario escribe la URL sin protocolo, evitando así ataques de downgrade que intenten interceptar la primera conexión insegura.

Cada certificado incluye también una lista de dominios cubiertos, el llamado SAN (Subject Alternative Name), que puede abarcar el dominio principal, subdominios concretos o incluso varios dominios distintos en un mismo certificado. Vigilar la fecha de expiración es especialmente importante porque, a diferencia de muchos otros fallos de configuración, un certificado caducado provoca un bloqueo total: el navegador muestra una advertencia de seguridad a pantalla completa y la mayoría de usuarios abandona el sitio sin llegar a ver el contenido, independientemente de que el resto de la infraestructura funcione correctamente.