مرکز آموزش

Por Germán Hernández, Arquitecto de Software

¿Recuerdas la última vez que entraste a un sitio web y tu navegador te mostró una advertencia en rojo diciendo "Conexión no segura"? ¿Qué hiciste? Probablemente saliste de ahí inmediatamente. Y con razón.

Esa advertencia es la forma que tiene tu navegador de decirte: "lo que pase aquí, ya no es mi responsabilidad". Y ningún cliente quiere sentirse así cuando visita la página de tu negocio.

Detrás de esa advertencia (o de la deseada barra verde con el candado) hay una tecnología que muchos dan por sentada pero pocos entienden: los certificados de seguridad SSL/TLS. Y como arquitecto de software, te digo que entender lo básico puede ahorrarte dolores de cabeza y, lo más importante, ventas perdidas.

En este artículo, desde mi experiencia en HostingPyme, te explicaré qué son estos certificados, la diferencia entre SSL y TLS, por qué tu negocio los necesita y cómo configurarlos en tu hosting de forma automática o manual.

¿Qué es un Certificado de Seguridad y para qué sirve?

Un certificado de seguridad SSL/TLS es como la cédula de identidad de tu sitio web. Es un archivo digital pequeño que cumple dos funciones fundamentales:

• Autenticación: Demuestra que tu sitio web es quien dice ser, no un sitio falso creado para engañar a tus clientes.
• Cifrado: Codifica la información que viaja entre tu servidor y el navegador de tus clientes, para que nadie pueda interceptarla y leerla .

Cuando un sitio web tiene un certificado válido instalado, el navegador muestra un candado en la barra de direcciones y la URL comienza con HTTPS (la "s" es de "seguro"). Cuando no lo tiene, los navegadores modernos muestran advertencias que espantan a los visitantes.

Para una pyme chilena, tener este certificado no es opcional. Es tan necesario como tener un cartel "abierto" en la puerta de tu negocio físico.

SSL vs. TLS: ¿Cuál es la diferencia real?

Aquí viene la parte que confunde a muchos. Escuchamos "certificado SSL" por todas partes, pero en realidad la tecnología que se usa hoy es TLS. ¿Qué pasó?

La historia en simple

SSL (Secure Sockets Layer) fue el primer protocolo de seguridad, creado por Netscape en 1995. Tuvo varias versiones (SSL 1.0, 2.0 y 3.0), pero todas terminaron teniendo vulnerabilidades de seguridad.

En 1999, apareció TLS (Transport Layer Security) como una evolución de SSL, corrigiendo sus fallos y añadiendo mejores sistemas de cifrado. Desde entonces, TLS ha seguido mejorando: TLS 1.0, 1.1, 1.2 y, la versión más reciente y segura, TLS 1.3 (2018).

Hoy en día, SSL está obsoleto y no debería usarse. Todos los navegadores modernos han dejado de darle soporte. Sin embargo, el nombre "SSL" se quedó en el imaginario colectivo, y por eso seguimos diciendo "certificado SSL" cuando en realidad nos referimos a "certificados SSL/TLS" (que usan tecnología TLS).

Diferencias clave entre SSL y TLS

Para que entiendas por qué TLS es superior, aquí van las diferencias principales:

• Seguridad: TLS utiliza algoritmos de cifrado mucho más fuertes y modernos que SSL.
• Velocidad: TLS 1.3 reduce el número de viajes de ida y vuelta necesarios para establecer una conexión segura, haciendo que los sitios web carguen más rápido.
• Autenticación de mensajes: SSL usa MAC (Message Authentication Code), mientras que TLS usa HMAC (Hash-based Message Authentication Code), más seguro.
• Mensajes de alerta: En TLS 1.3, todos los mensajes de alerta están cifrados, lo que evita que un atacante pueda obtener información sobre la conexión.

La conclusión es simple: TLS es mejor en todo. Por eso es el estándar actual.

Entonces, ¿qué compro, un certificado SSL o TLS?

Compras un certificado digital que puede ser usado con el protocolo TLS. El nombre "certificado SSL" es solo una costumbre comercial. Lo importante es que tu servidor esté configurado para usar TLS 1.2 o TLS 1.3, que son las versiones seguras.

En HostingPyme, todos nuestros planes de hosting web pyme incluyen certificados compatibles con las versiones más recientes de TLS, para que tu sitio sea rápido y seguro.

Tipos de Certificados según su Nivel de Validación

Más allá del protocolo (SSL vs TLS), los certificados se clasifican por cómo verifican la identidad de quien los solicita. Elegir el adecuado depende del tipo de negocio que tengas.

1. Certificados de Validación de Dominio (DV)

Son los más básicos y rápidos de obtener. La Autoridad de Certificación (CA) solo verifica que tienes control sobre el dominio (generalmente respondiendo un correo o agregando un registro DNS).

Ventajas: Se obtienen en minutos, suelen ser gratuitos (como los de Let's Encrypt).
Desventajas: No verifican quién está detrás del sitio, solo que el dominio existe.
Ideal para: Blogs, sitios informativos, páginas que no manejan datos sensibles.

2. Certificados de Validación de Organización (OV)

Además de verificar el dominio, la CA verifica datos de la organización: que la empresa exista legalmente, su dirección, teléfono, etc..

Ventajas: Mayor nivel de confianza para los visitantes.
Desventajas: Tardan un par de días en emitirse y tienen costo.
Ideal para: Empresas, sitios corporativos, organizaciones que quieren proyectar seriedad.

3. Certificados de Validación Extendida (EV)

Son el máximo nivel de validación. La CA realiza una investigación exhaustiva de la organización: existencia legal, dirección física, números de teléfono, etc. 

Ventajas: Máxima confianza. Antes mostraban la barra verde en el navegador (aunque hoy los navegadores han simplificado esto).
Desventajas: Son los más caros y tardan varios días en emitirse.
Ideal para: Bancos, instituciones financieras, grandes tiendas de e-commerce.

Tabla comparativa rápida

Tipos de Certificados según la Cobertura de Dominios

Además del nivel de validación, los certificados se clasifican por cuántos dominios o subdominios pueden proteger.

Certificado de Dominio Único

Protege un solo dominio (ej: tudominio.cl). También cubre la versión www (www.tudominio.cl) automáticamente en la mayoría de los casos.

Certificado Wildcard (Comodín)

Protege un dominio y todos sus subdominios ilimitados. Por ejemplo, con un wildcard para *.tudominio.cl puedes proteger blog.tudominio.cl, tienda.tudominio.cl, mail.tudominio.cl, etc., con un solo certificado.

Ideal para: Negocios que usan muchos subdominios.

Certificado Multidominio (SAN)

Protege varios dominios distintos con un mismo certificado. Por ejemplo: tudominio.cl, tusegundo negocio.cl, tuempresa.com.

Ideal para: Empresas con varias marcas o sitios web.

¿Cómo funciona el proceso de conexión segura?

Para que entiendas lo que pasa en segundos cuando un cliente entra a tu sitio:

1. El navegador solicita conexión: Tu cliente escribe tu dominio y el navegador pide conectarse de forma segura.
2. El servidor presenta su certificado: Tu hosting envía el certificado digital al navegador.
3. El navegador verifica: Comprueba que el certificado sea válido, que no esté vencido, que la autoridad que lo emitió sea de confianza y que el dominio coincida.
4. Intercambio de claves: Se genera una "clave de sesión" que se usará para cifrar toda la comunicación posterior.
5. Conexión segura establecida: A partir de este momento, todos los datos viajan cifrados. El navegador muestra el candado.

Todo esto ocurre en milisegundos, sin que el usuario note nada... excepto el candado que le da tranquilidad.

Configuración en tu Hosting: Automática vs. Manual

Ahora viene lo práctico: ¿cómo instalar todo esto en tu sitio? Aquí es donde muchos emprendedores se complican, pero en realidad es más simple de lo que parece.

Opción 1: Certificado Automático (Let's Encrypt)

La mayoría de los hosting modernos, incluido HostingPyme, ofrecen integración con Let's Encrypt, una autoridad de certificación gratuita y automática.

Ventajas:

• Es gratuito.
• Se renueva automáticamente cada 90 días (no tendrás que preocuparte por fechas de vencimiento).
• Ofrece certificados DV, suficientes para la mayoría de las pymes.
• La instalación es con un clic desde cPanel.

Cómo activarlo en cPanel:

1. Accede a tu cPanel (tudominio.cl/cpanel).
2. Busca la sección "Seguridad" y haz clic en "Let's Encrypt" o "SSL/TLS".
3. Selecciona tu dominio.
4. Haz clic en "Emitir" o "Instalar".
5. ¡Listo! En menos de un minuto tu sitio tendrá HTTPS activo.

Esta es la opción que recomiendo para el 90% de las pymes chilenas. Es rápida, gratis y no requiere conocimientos técnicos.

Opción 2: Certificado Manual (OV o EV)

Si necesitas un certificado de mayor validación (porque tu negocio lo requiere o porque quieres proyectar máxima confianza), puedes comprar un certificado OV o EV a una autoridad certificadora.

Pasos generales:

1. Compra el certificado con un proveedor (Sectigo, DigiCert, etc.).
2. Genera una CSR (Certificate Signing Request) desde cPanel. Esto crea un par de claves (pública y privada).
3. Envía la CSR a la autoridad certificadora y completa el proceso de validación (te pedirán documentos de tu empresa).
4. Recibirás el certificado firmado por la autoridad.
5. Instálalo en cPanel en la sección "SSL/TLS" > "Instalar y gestionar certificados SSL".

Este proceso puede tomar varios días y requiere más atención, pero te da un certificado con validación de empresa.

Opción 3: Certificado incluido con tu hosting

En HostingPyme, todos nuestros planes incluyen certificados automáticos. Nosotros nos encargamos de que tu sitio tenga HTTPS activo desde el primer momento, sin que tengas que hacer nada.

La importancia de la configuración TLS en tu servidor

Instalar el certificado es solo la mitad del trabajo. La otra mitad es asegurarte de que tu servidor esté configurado para usar solo versiones seguras de TLS y no protocolos obsoletos.

Protocolos que debes desactivar

• SSL 2.0 y SSL 3.0: Obsoletos, vulnerables, no deben usarse.
• TLS 1.0 y TLS 1.1: También considerados inseguros desde 2020. La mayoría de los navegadores ya no los soportan.

Protocolos que debes activar

• TLS 1.2: Ampliamente utilizado y seguro.
• TLS 1.3: La versión más reciente, más rápida y segura.

Cómo verificarlo

Puedes usar herramientas online como SSL Labs' SSL Test (www.ssllabs.com/ssltest/). Solo ingresa tu dominio y la herramienta te mostrará:

• Si tu certificado es válido.
• Qué versiones de TLS están activas.
• Qué algoritmos de cifrado estás usando.
• Posibles vulnerabilidades.

Si ves que TLS 1.0 o 1.1 están activos, deberías desactivarlos. En HostingPyme, nosotros configuramos los servidores con las mejores prácticas, pero si tienes dudas, contáctanos y revisamos tu caso.

Preguntas Frecuentes sobre SSL/TLS

¿Necesito un certificado SSL si mi sitio no vende online?

Sí. Aunque no vendas, probablemente tienes un formulario de contacto, o pides correos electrónicos. Esos datos también deben protegerse. Además, Google penaliza en posicionamiento a los sitios sin HTTPS.

¿Los certificados gratuitos (Let's Encrypt) son seguros?

Sí, completamente. Ofrecen el mismo nivel de cifrado que los certificados pagados. La diferencia está en el nivel de validación (DV vs OV/EV) y en el soporte.

¿Cada cuánto debo renovar mi certificado?

Depende. Los de Let's Encrypt duran 90 días y se renuevan automáticamente. Los comerciales solían durar 1 o 2 años, pero desde 2020 el máximo permitido es 397 días (aproximadamente 13 meses).

¿Qué pasa si mi certificado vence?

Los navegadores mostrarán una advertencia de "conexión no segura" y muchos usuarios abandonarán tu sitio. Además, perderás la confianza de tus clientes. Por eso la renovación automática es tan importante.

¿Puedo tener el mismo certificado para varios dominios?

Sí, con certificados multidominio (SAN) o con un wildcard si son subdominios del mismo dominio principal.

¿Cómo sé qué versión de TLS está usando mi sitio?

Usa herramientas como SSL Labs o, en Chrome, haz clic en el candado > "La conexión es segura" > "El certificado es válido". Ahí puedes ver detalles técnicos.

Conclusión: La Seguridad no es un Gasto, es una Inversión

Cuando empezamos este artículo, hablamos de esa temida advertencia de "conexión no segura". Hoy sabes que detrás de ella hay tecnología que puedes controlar y configurar.

Tener un certificado SSL/TLS bien configurado es la base de la confianza digital. Tus clientes necesitan saber que sus datos están seguros contigo. Y los buscadores como Google premian esa seguridad con mejor posicionamiento.

En HostingPyme, nos encargamos de que no tengas que preocuparte por estos detalles técnicos. Nuestros planes de hosting web pyme incluyen:

• Certificados automáticos Let's Encrypt con renovación incluida.
• Servidores configurados con TLS 1.2 y TLS 1.3 (los protocolos más seguros).
• Soporte para certificados wildcard y multidominio si los necesitas.
• Asesoría personalizada si tienes dudas o necesitas configuraciones especiales.

¿Tienes dudas sobre qué tipo de certificado necesita tu negocio? ¿Quieres que revisemos la configuración de tu sitio? Contáctanos o escríbenos a nuestro WhatsApp +569 35995890. Estamos aquí para ayudarte a mantener tu negocio seguro y confiable.

Germán Hernández
Arquitecto de Software
HostingPyme