Qué es un certificado SSL/TLS: funcionamiento, cifrado y validez

SSL (Secure Sockets Layer) y su sucesor TLS (Transport Layer Security) son protocolos que cifran la comunicación entre cliente (navegador) y servidor web, garantizando confidencialidad, integridad y autenticidad.

Handshake SSL/TLS (resumido)

1. Cliente envía ClientHello (versiones, suites de cifrado, aleatorio).
2. Servidor responde ServerHello + Certificado X.509 (clave pública, dominio, CA emisora, validez).
3. Cliente verifica certificado: CA de confianza, no expirado, coincide dominio, no revocado (CRL/OCSP).
4. Cliente genera pre-master secret, lo cifra con clave pública del servidor y envía.
5. Ambos derivan claves de sesión simétricas (AES-GCM, ChaCha20-Poly1305) para cifrar el tráfico HTTP → HTTPS.

Cifrado: claves pública/privada (PKI)

• Clave pública: en certificado, cualquiera puede cifrar.
• Clave privada: solo el servidor la tiene; descifra.
• Simétrica para datos (rápida), asimétrica solo para intercambio inicial.

Longitudes de clave y seguridad

• RSA 2048 bits (mínimo actual), 3072/4096 recomendado.
• ECDSA P-256 / P-384 (más eficiente).
• TLS 1.2 / 1.3 (obligatorio hoy). TLS 1.0/1.1 y SSL 3.0 obsoletos e inseguros.

Tipos de certificado

• DV (Domain Validated): solo control del dominio (Let’s Encrypt gratis).
• OV (Organization Validated): verifica empresa.
• EV (Extended Validation): barra verde antigua (hoy menos visible), máxima verificación legal.
• Wildcard (*.ejemplo.com) y Multi-dominio (SAN).

Renovación y automatización

Vigencia máx. 398 días (CA/B Forum). Usa ACME (Certbot, win-acme) para renovación automática cada 60-90 días.