Definición
HTTPS es HTTP cifrado con TLS. Es el mismo protocolo de siempre, con una capa que protege lo que viaja entre el navegador y el servidor.
Da tres garantías, y conviene saber cuáles son porque hay una cuarta que la gente asume y no existe:
Confidencialidad. Nadie puede leer el contenido por el camino.
Integridad. Nadie puede modificarlo sin que se detecte.
Autenticidad del servidor. El certificado acredita que estás hablando con el dominio que dice ser.
Lo que NO garantiza: que el sitio sea honesto. El candado dice que la conexión es segura, no que quien está al otro lado lo sea. Una web fraudulenta puede tener HTTPS perfectamente — de hecho, casi todas lo tienen. Confundir «cifrado» con «de fiar» es el malentendido más extendido sobre el candado.
SSL, TLS y por qué se dicen mal
SSL fue el protocolo original y está obsoleto y roto desde hace años. Su sucesor es TLS.
Todo el mundo sigue diciendo «certificado SSL» por costumbre, incluidos los proveedores que lo venden. Lo que se instala es un certificado TLS.
Y conviene revisar las versiones activas: las antiguas de TLS también han quedado desaconsejadas. Un servidor que aún las acepta baja la seguridad al nivel del cliente más viejo que le hable.
Los tipos de certificado
DV (validación de dominio). Acredita que controlas el dominio. Se emite en segundos y es gratis con Let's Encrypt. Es lo que necesita el 95 % de los sitios.
OV y EV. Validan además la existencia de la organización. Cuestan dinero, y desde que los navegadores dejaron de mostrar la barra verde con el nombre de la empresa, su ventaja visible desapareció. Siguen vendiéndose, y para la inmensa mayoría de proyectos no aportan nada que el visitante vaya a percibir.
Comodín. Cubre todos los subdominios de un dominio.
Ejemplo práctico
Hoy HTTPS no es opcional por tres motivos que se acumulan: los navegadores marcan como «no seguro» lo que no lo tiene, es factor de posicionamiento reconocido por Google, y sin él las cookies con Secure no funcionan.
Lo que aprendí, y es el fallo que más veces he visto: tener el certificado instalado no basta. Hace falta que todo el tráfico vaya efectivamente por HTTPS, y eso exige dos cosas más:
Redirección permanente de HTTP a HTTPS, para que quien escriba la dirección sin más acabe en la versión segura. Ver redirección 301.
Nada de contenido mixto. Si la página va por HTTPS pero carga una imagen o un script por HTTP, el navegador lo bloquea o avisa. Y el fallo aparece tarde, cuando alguien añade un recurso externo meses después.
El segundo aprendizaje, operativo: los certificados caducan. Los de Let's Encrypt duran noventa días y se renuevan automáticamente — hasta el día que la renovación falla en silencio y la web amanece con un aviso de seguridad a pantalla completa.
Por eso conviene vigilar la fecha de caducidad como se vigila cualquier otra cosa crítica, con aviso antes de que expire. Es exactamente el tipo de fallo silencioso del que hablaba en tarea programada: funciona durante meses hasta que deja de hacerlo, y nadie se entera.
Y una precisión sobre el rendimiento: la idea de que HTTPS ralentiza está desfasada. Con las versiones modernas del protocolo, el coste del cifrado es despreciable — y HTTP/2 y HTTP/3, que sí aceleran mucho, solo funcionan sobre HTTPS. En la práctica, cifrar hace tu web más rápida.
Errores comunes
- Creer que el candado acredita que el sitio es de fiar.
- Instalar el certificado y no redirigir el tráfico HTTP.
- Contenido mixto, que rompe la página o el aviso.
- Pagar por un certificado OV o EV sin una razón concreta.
- No vigilar la caducidad.
- Aceptar versiones antiguas de TLS.
- Certificado solo en el dominio principal y no en
wwwo en los subdominios.
Cuándo revisarlo
Al publicar cualquier sitio, y con vigilancia continua de la caducidad.
La comprobación que lleva un minuto: entra a tu web escribiendo http:// a mano y comprueba que acabas en https://. Y pasa el dominio por un analizador de TLS para ver qué versiones y qué cifrados aceptas de verdad — suele haber sorpresas heredadas de la configuración por defecto.
