Cuando visitas una página web y aparece un candado junto a la dirección, probablemente sabes que existe una conexión segura.
Pero ¿qué significa realmente?
¿Qué ocurre entre tu navegador y el servidor cuando visitas una web?
¿Qué protege HTTPS?
¿Y qué relación tiene todo esto con un certificado SSL?
Aunque normalmente todo sucede en unos instantes y de forma invisible para el usuario, detrás de ese pequeño candado existe un proceso tecnológico fundamental para la seguridad de Internet.
HTTP y HTTPS no son exactamente lo mismo.
Para entender HTTPS primero hay que hablar de HTTP.
HTTP, siglas de Hypertext Transfer Protocol, es uno de los protocolos utilizados para intercambiar información entre un navegador y un servidor web.
Cuando escribes una dirección en el navegador, este necesita comunicarse con el servidor donde está alojada la página.
Solicita determinados recursos y el servidor responde enviándolos.
HTML, imágenes, hojas de estilos, archivos JavaScript y otros recursos pueden formar parte de ese intercambio.
El problema es que una comunicación HTTP tradicional no cifra la información transmitida.
Ahí aparece HTTPS.
La «S» significa Secure.
HTTPS utiliza HTTP sobre una conexión protegida mediante criptografía.
¿Qué hace realmente el cifrado?
Imaginemos que estás enviando información a una página web.
Si esa comunicación no estuviera protegida, un tercero que consiguiera interceptarla podría potencialmente observar los datos que se están transmitiendo.
Con HTTPS, la información se cifra antes de viajar entre el navegador y el servidor.
El objetivo es que alguien que intercepte esa comunicación no pueda interpretar fácilmente su contenido.
Esto resulta especialmente importante cuando se transmiten datos sensibles, como credenciales, información personal o datos de pago.
Pero HTTPS no se limita a las tiendas online.
Actualmente es una pieza básica de la infraestructura de la web.
Entonces, ¿qué es SSL?
Aquí aparece una pequeña confusión habitual.
Se sigue hablando mucho de «certificados SSL», aunque la tecnología utilizada actualmente para proteger las conexiones HTTPS es TLS (Transport Layer Security).
SSL, o Secure Sockets Layer, fue el protocolo anterior.
TLS lo sustituyó como estándar moderno.
Sin embargo, el término «SSL» continúa utilizándose de manera general para referirse a los certificados digitales utilizados para establecer conexiones HTTPS.
Por eso podemos encontrar expresiones como:
«certificado SSL».
«certificado HTTPS».
«certificado TLS».
En muchos contextos se están refiriendo esencialmente al mismo componente dentro de una conexión segura, aunque técnicamente SSL y TLS no sean lo mismo.
¿Qué ocurre cuando visitas una web HTTPS?
El proceso puede parecer complejo, pero podemos simplificarlo.
Cuando introduces una dirección HTTPS en el navegador, este necesita establecer una conexión segura con el servidor.
El servidor presenta su certificado digital.
El navegador comprueba diferentes aspectos del certificado y establece los parámetros necesarios para la comunicación.
Después se negocian las claves que permitirán cifrar la conexión.
Una vez completado este proceso, navegador y servidor pueden intercambiar información de forma cifrada.
Todo ocurre normalmente en una fracción de segundo.
El usuario simplemente ve cómo aparece la página.
El certificado también ayuda a identificar al servidor.
HTTPS no consiste únicamente en ocultar los datos.
Los certificados digitales también participan en la autenticación del sitio web.
El navegador puede comprobar que el certificado corresponde al dominio al que se está accediendo y que ha sido emitido por una entidad de certificación reconocida.
Esto ayuda a reducir determinados ataques en los que un tercero intenta hacerse pasar por otro servidor.
Por eso HTTPS proporciona varias propiedades importantes:
Cifrado: dificulta que terceros puedan leer la comunicación.
Integridad: ayuda a detectar modificaciones de los datos durante el tránsito.
Autenticación: permite comprobar la identidad asociada al certificado del sitio.
Estas propiedades son fundamentales para establecer comunicaciones seguras.
El candado no significa que una web sea «buena».
Hay una interpretación que conviene evitar.
Que una web utilice HTTPS no significa que todo lo que contiene sea fiable.
HTTPS protege principalmente la comunicación entre el navegador y el servidor.
Una página puede utilizar HTTPS y, al mismo tiempo, contener información falsa, ofrecer un servicio deficiente o incluso intentar engañar al usuario.
Por eso el candado no debe interpretarse como un certificado de confianza absoluta sobre el contenido de una página.
Indica que la conexión está protegida mediante HTTPS.
Nada más.
¿Por qué todas las webs deberían utilizar HTTPS?
Porque la seguridad de la comunicación debería ser una característica básica de cualquier sitio web moderno.
Incluso cuando una página no tiene formularios de pago ni solicita información especialmente sensible, HTTPS protege la conexión y evita que determinados elementos de la comunicación viajen sin cifrar.
Además, los navegadores actuales han convertido HTTPS en una expectativa habitual para los usuarios.
Una web que muestra advertencias relacionadas con una conexión no segura puede generar desconfianza incluso antes de que el visitante haya leído una sola línea de contenido.
HTTPS y rendimiento.
Durante años existió la idea de que añadir cifrado hacía que una web fuese necesariamente más lenta.
La tecnología ha evolucionado.
Los protocolos modernos y las infraestructuras actuales permiten establecer conexiones seguras de forma muy eficiente.
Además, HTTPS es un requisito práctico para utilizar tecnologías web modernas como HTTP/2 y HTTP/3 en los navegadores actuales.
Por eso seguridad y rendimiento no tienen por qué ser conceptos enfrentados.
Una infraestructura correctamente configurada puede ofrecer ambas cosas.
HTTPS no sustituye a la seguridad de WordPress.
Este punto es especialmente importante.
Instalar un certificado y activar HTTPS no convierte automáticamente una web en segura.
HTTPS protege la comunicación.
Pero una web también necesita proteger su propio entorno.
En WordPress, por ejemplo, entran en juego otros elementos:
- Actualizaciones del núcleo.
- Plugins y temas mantenidos.
- Contraseñas seguras.
- Control de usuarios y permisos.
- Copias de seguridad.
- Protección del servidor.
- Monitorización.
- Configuración adecuada de PHP y la base de datos.
La seguridad de una web es un sistema formado por diferentes capas.
HTTPS es una de ellas.
¿Y qué ocurre con el SEO?
HTTPS también forma parte del ecosistema técnico de una web que quiere ser visible en buscadores.
Google anunció hace años que HTTPS es una señal utilizada en sus sistemas de clasificación.
Pero sería un error pensar que instalar un certificado hace que una página pase automáticamente a posicionarse mejor.
El SEO depende de muchos factores.
HTTPS es, sobre todo, una característica fundamental de una web moderna y segura.
HTTPS también forma parte de la confianza.
Cuando alguien visita una web profesional espera determinadas cosas.
Que cargue correctamente.
Que funcione en móvil.
Que pueda navegar sin advertencias de seguridad.
Que sus datos se transmitan de forma protegida cuando corresponda.
Que la infraestructura esté correctamente mantenida.
Ninguno de estos elementos garantiza por sí solo la calidad de una empresa.
Pero juntos forman parte de la experiencia digital que percibe un usuario.
Una conexión segura que normalmente pasa desapercibida.
Quizá esa sea la mejor manera de entender HTTPS.
Cuando funciona correctamente, prácticamente no pensamos en él.
Es invisible.
El usuario escribe una dirección, pulsa un enlace y la página aparece.
Pero entre ambos momentos se ha producido un proceso tecnológico que permite establecer una comunicación cifrada entre el navegador y el servidor.
Ese pequeño candado representa, por tanto, mucho más que un icono.
Representa una de las capas fundamentales sobre las que se construye la web moderna.
Y, como ocurre con muchas de las tecnologías que hemos visto en esta serie, cuanto mejor funciona, menos nos damos cuenta de que está ahí.
