Cómo funcionan realmente HTTPS y TLS: Guía práctica

Has visto el icono del candado en tu navegador miles de veces. Pero, ¿qué ocurre realmente cuando visitas un sitio HTTPS? ¿Cómo sabe tu navegador que está hablando con el servidor real y no con un impostor? ¿Y por qué algunos sitios siguen mostrando advertencias a pesar de tener certificados?

En esta guía, explicaremos HTTPS y TLS en lenguaje sencillo, con ejemplos prácticos y consejos prácticos. Ya seas desarrollador, administrador de sistemas o simplemente tengas curiosidad por la seguridad web, terminarás con un modelo mental sólido de cómo se establecen y mantienen las conexiones seguras.

¿Qué es HTTPS y TLS?

HTTPS (HyperText Transfer Protocol Secure) es simplemente HTTP sobre TLS (Transport Layer Security). TLS es un protocolo criptográfico que proporciona tres garantías:

• Confidencialidad: Los datos están cifrados para que los espías no puedan leerlos.
• Integridad: Los datos no pueden modificarse en tránsito sin ser detectados.
• Autenticación: Estás hablando con el servidor al que pretendías llegar.

Históricamente, SSL (Secure Sockets Layer) fue el predecesor de TLS. Aunque los términos se usan a menudo indistintamente, SSL está obsoleto e inseguro. Los sistemas modernos utilizan TLS 1.2 o 1.3.

El handshake de TLS: Estableciendo una conexión segura

Antes de que fluyan datos cifrados, el cliente (navegador) y el servidor realizan un handshake para acordar parámetros criptográficos e intercambiar claves. Los pasos exactos varían entre versiones de TLS, pero la idea central es similar.

Handshake de TLS 1.2 (Simplificado)

1. Client Hello: El cliente envía las versiones de TLS compatibles, los conjuntos de cifrado y un valor aleatorio.
2. Server Hello: El servidor elige una versión de TLS y un conjunto de cifrado, y envía su propio valor aleatorio más su certificado.
3. Verificación del certificado: El cliente comprueba la validez, la expiración y la cadena de confianza del certificado.
4. Intercambio de claves: Usando la clave pública del certificado, el cliente cifra un secreto pre-maestro y lo envía al servidor. Ambos derivan las mismas claves de sesión.
5. Finished: Ambas partes envían un MAC sobre el handshake para verificar la integridad. Comienza la comunicación cifrada.

Handshake de TLS 1.3 (Más rápido y seguro)

TLS 1.3 reduce los viajes de ida y vuelta y elimina algoritmos débiles. El handshake puede completarse en un viaje de ida y vuelta (1-RTT) o incluso en cero viajes (0-RTT) para sesiones reanudadas. También cifra más parte del handshake, mejorando la privacidad.

# Ejemplo: Inspeccionar el handshake TLS con OpenSSL
openssl s_client -connect example.com:443 -tls1_3 -brief

Este comando muestra el protocolo negociado, el cifrado y los detalles del certificado.

Certificados y la cadena de confianza

Los certificados son documentos digitales que vinculan una clave pública a una identidad (como un nombre de dominio). Son emitidos por Autoridades de Certificación (CA) y son la piedra angular de la autenticación en TLS.

Cuando tu navegador se conecta a un servidor, verifica:

• Que el certificado esté firmado por una CA de confianza (directamente o a través de un intermediario).
• Que el certificado sea válido para el dominio que estás visitando.
• Que el certificado esté dentro de su período de validez.
• Que el certificado no haya sido revocado (mediante CRL u OCSP).

Si alguna comprobación falla, el navegador muestra una advertencia. Por eso un certificado caducado rompe HTTPS.

Cifrado en acción: Simétrico vs Asimétrico

TLS utiliza tanto cifrado asimétrico como simétrico:

• Criptografía asimétrica (de clave pública): Se utiliza durante el handshake para intercambiar claves de forma segura. El certificado del servidor contiene su clave pública; solo el servidor posee la clave privada.
• Cifrado simétrico: Una vez intercambiadas las claves, los datos masivos se cifran con algoritmos rápidos como AES o ChaCha20.

Este enfoque híbrido equilibra seguridad y rendimiento.

Consejos prácticos para implementar HTTPS

Así es como puedes implementar HTTPS correctamente en tu propio sitio:

1. Usa una CA de confianza: Let's Encrypt ofrece certificados gratuitos; las CA comerciales proporcionan validación extendida y soporte.
2. Habilita solo TLS 1.2 y 1.3: Desactiva SSLv3, TLS 1.0 y TLS 1.1.
3. Configura conjuntos de cifrado fuertes: Prefiere cifrados AEAD como AES-GCM y ChaCha20-Poly1305.
4. Implementa HSTS: La cabecera Strict-Transport-Security obliga a los navegadores a usar HTTPS en futuras visitas.
5. Redirige HTTP a HTTPS: Usa redirecciones 301 para asegurar que todo el tráfico esté cifrado.
6. Automatiza la renovación: Los certificados caducan; usa herramientas como Certbot para renovarlos automáticamente.
7. Prueba regularmente: Usa la prueba SSL de SSL Labs para calificar tu configuración.

Errores comunes y cómo evitarlos

Preguntas frecuentes

¿Cuál es la diferencia entre HTTPS y TLS?

HTTPS es la versión segura de HTTP, y TLS es el protocolo que proporciona la seguridad. HTTPS utiliza TLS para cifrar el tráfico HTTP.

¿Necesito un certificado para desarrollo local?

Para desarrollo local, puedes usar certificados autofirmados, pero los navegadores mostrarán advertencias. Herramientas como mkcert pueden crear certificados de confianza local.

¿Con qué frecuencia deben renovarse los certificados?

La práctica recomendada moderna es renovar cada 90 días (como hace Let's Encrypt) o incluso con más frecuencia. La automatización es clave para evitar la expiración.

¿Listo para poner este conocimiento en práctica? Si necesitas analizar tus registros de Nginx para detectar errores de TLS o fallos en el handshake, prueba nuestro Analizador de registros de Nginx para analizar y visualizar rápidamente los datos de los registros.