El icono del candado: qué significa realmente

El icono del candado en la barra de direcciones del navegador confirma que la conexión entre el navegador y el servidor web está cifrada mediante TLS. Esto impide que quienes intercepten la comunicación lean los datos en tránsito.

También confirma que el servidor ha presentado un certificado que el navegador ha podido verificar: el certificado está firmado por una Autoridad de certificación (CA) de confianza y el nombre de dominio coincide.

El candado no dice nada sobre la confiabilidad o legitimidad del sitio web. Un delincuente puede obtener un certificado TLS válido para su sitio de phishing con la misma facilidad que una empresa legítima.

El candado significa «su conexión con este servidor está cifrada», no «este sitio web es seguro», «esta empresa es legítima» ni «debe confiar en el contenido de esta página».

Los sitios de phishing utilizan HTTPS habitualmente. Let's Encrypt emite certificados gratuitos de forma automática a cualquiera que controle un dominio, incluidos los delincuentes que han registrado dominios parecidos, como «paypa1.com» o «arnazon.com».

El Informe de transparencia de Google muestra que más del 90 % de las páginas de phishing utilizan actualmente HTTPS. La presencia de un candado no es un indicador fiable de seguridad; hay que verificar el propio nombre de dominio.

Los certificados de validación de dominio (DV), que son los más comunes, solo verifican que el solicitante controla el dominio. La CA lo comprueba mediante registros DNS, un archivo colocado en el servidor web o un correo electrónico enviado al contacto administrativo del dominio.

Los certificados DV pueden emitirse en minutos mediante protocolos ACME, utilizados por Let's Encrypt. Confirman el control del dominio, pero no proporcionan información sobre la organización que está detrás de él.

Los certificados de validación de organización (OV) requieren que la CA verifique la existencia legal de la organización. La CA comprueba los registros de inscripción empresarial, confirma la dirección de la organización y verifica que la persona que solicita el certificado está autorizada para actuar en nombre de la organización.

Los certificados OV incluyen el nombre de la organización en los datos del certificado. Tardan varios días en emitirse y cuestan más que los certificados DV, pero proporcionan una mayor garantía sobre la identidad de la organización.

Los certificados de validación extendida (EV) requieren la verificación más rigurosa: existencia legal, existencia operativa, dirección física y confirmación directa con personal autorizado. El proceso tarda entre una y varias semanas.

Históricamente, los certificados EV mostraban el nombre de la organización en verde en la barra de direcciones del navegador. Sin embargo, Chrome eliminó el indicador EV en 2019, alegando investigaciones de usabilidad que demostraban que los usuarios no lo entendían o no lo percibían.

Certificate Transparency (CT) es un mecanismo mediante el cual todos los certificados emitidos deben registrarse en registros públicos y auditables. Los navegadores comprueban que los certificados aparezcan en los registros de CT antes de confiar en ellos.

Los registros de CT permiten a los propietarios de dominios supervisar la emisión de certificados no autorizados para sus dominios. Si una CA emite un certificado incorrectamente, este aparecerá en el registro en cuestión de horas, lo que permite detectarlo y revocarlo rápidamente.

En cualquier navegador moderno puede hacer clic en el candado para consultar los detalles de la conexión. Chrome muestra «La conexión es segura», el periodo de validez del certificado y la CA emisora. Al hacer clic en «El certificado es válido» se muestra la cadena completa de certificados.

Los detalles del certificado incluyen: el Common Name y los Subject Alternative Names (los dominios cubiertos), la CA emisora, el periodo de validez (not before / not after) y el algoritmo de firma.

Desde 2017, Chrome marca todas las páginas HTTP como «No seguro» en la barra de direcciones. Firefox y Edge hicieron lo mismo. Esta advertencia aparece porque HTTP transmite todos los datos como texto sin cifrar, visible para cualquiera que esté en la red.

La etiqueta «No seguro» es especialmente visible cuando el usuario empieza a escribir en un formulario de una página HTTP, ya que advierte que las credenciales o los datos personales se enviarán sin cifrar.

HTTPS es ahora el requisito básico esperado para cualquier sitio web, no una función de seguridad prémium. Su presencia significa que el canal está cifrado, lo cual es necesario, pero no suficiente, para la seguridad general del sitio.

La seguridad del contenido, la seguridad de la autenticación, los controles de autorización, la prevención de vulnerabilidades de inyección y decenas de otras propiedades de seguridad son completamente independientes de que la conexión utilice HTTPS.

Más allá del candado, para verificar la legitimidad de un sitio debe comprobar el nombre de dominio exacto para detectar typosquatting, buscar los detalles del certificado OV o EV si están disponibles, verificar el sitio mediante los resultados de un motor de búsqueda en lugar de hacer clic en enlaces de correos electrónicos y comprobar la antigüedad del registro y la titularidad del dominio mediante una consulta WHOIS.

Los usuarios que priorizan la seguridad guardan en favoritos los sitios importantes, como el de su banco, en lugar de escribir la URL cada vez. Así reducen el riesgo de introducirla mal y acceder a un dominio de typosquatting que podría tener un certificado HTTPS válido.

El icono del candado confirma una conexión TLS cifrada y la validación del certificado por una CA de confianza. No confirma que el sitio web o la organización sean confiables.

Los sitios de phishing pueden usar HTTPS y, de hecho, lo hacen. Los certificados DV solo requieren verificar el control del dominio y se emiten en cuestión de minutos. Los registros de Certificate Transparency permiten supervisar la emisión de certificados no autorizados. HTTPS es necesario, pero no suficiente para garantizar la seguridad general.