¿Te has fijado alguna vez en cómo empieza la dirección de una web? Unas ponen http:// y otras https://. Esa «s» minúscula, casi invisible, marca la diferencia entre una conexión protegida y una que cualquiera puede espiar por el camino.

Detrás de esa «s» está el certificado SSL. Vamos a entender qué es el SSL y por qué tu web no puede quedarse sin él: cuando falta, navegadores como Chrome avisan con un «No es seguro» que tira para atrás a cualquiera.

En las próximas líneas: qué es y para qué sirve, cómo se relaciona con el HTTPS, qué tipos de certificados hay y cómo comprobar el de tu propia web.

¿Qué es el SSL y para qué sirve?

El SSL (Secure Sockets Layer) es la tecnología que cifra la información que viaja entre tu web y la persona que la está visitando. Traducido: convierte los datos en un código ilegible mientras van de un lado a otro, para que nadie por el camino pueda espiarlos ni manipularlos.

Lo entenderás mejor con una imagen. Enviar datos por una web sin SSL es como mandar una postal: cualquiera que la toque por el camino puede leerla. Con SSL, esa misma información viaja dentro de un sobre cerrado y lacrado. Solo el destinatario lo abre.

Entonces, qué es el SSL y para qué sirve, resumido: sirve para que la contraseña que escribe tu cliente, su email o el número de su tarjeta lleguen a tu servidor sin que nadie los intercepte por el camino.

Un matiz que casi nadie cuenta: hoy, técnicamente, el protocolo que se usa ya no es el SSL original, sino TLS (Transport Layer Security), su versión moderna y más segura. Pero el nombre «SSL» se quedó tan pegado que todo el mundo lo sigue usando. Cuando alguien habla de SSL, en realidad se refiere a SSL/TLS. Nosotros también, para entendernos.

¿Qué es un certificado SSL?

Aquí conviene separar dos cosas. El SSL es la tecnología; el certificado SSL es el documento que la activa y demuestra que tu web es quien dice ser.

Piensa en el certificado como el DNI de tu página. Lo emite una entidad de confianza (una autoridad certificadora) tras comprobar ciertos datos, y le dice al navegador: «esta web es legítima, puedes confiar en ella y cifrar la conexión». Sin ese documento, el cifrado no se establece y el navegador desconfía.

Necesitas instalar un certificado SSL en tu servidor o tu hosting. Es lo que activa la «s» de HTTPS y hace que la conexión viaje cifrada.

SSL, HTTPS y la «s»

Algunas direcciones empiezan por http:// y otras por https://. Esa «s» final significa «secure» (seguro), y aparece precisamente cuando hay un certificado SSL funcionando por debajo.

• HTTP es el protocolo de toda la vida, sin cifrar. La postal.
• HTTPS es ese mismo protocolo, pero con SSL por encima. El sobre lacrado.
• La «s» de HTTPS es la señal de que la conexión entre tu web y quien la visita viaja cifrada.

Aquí va un matiz: que una web use HTTPS no significa que sea de fiar. Seguro no es igual que de confianza. Una web de phishing también puede tener su certificado y su HTTPS en regla: el cifrado protege la conexión, pero no garantiza que detrás haya buena gente.

¿Y qué pasa si tu web sigue en HTTP? Que navegadores como Chrome la marcan directamente como «No es seguro» junto a la barra de direcciones. Un cartel que espanta visitas y da una mala imagen.

¿Por qué tu web necesita un certificado SSL?

Vale, ya tienes claro qué es el SSL. Ahora, la pregunta del millón: ¿de verdad lo necesitas? La verdad es que sí. Estos son los motivos.

• Protege los datos de tus clientes. Cualquier dato que viaje por tu web (un login, un formulario de contacto, un pago) va cifrado. Sin SSL, esa información circula a pelo y puede ser interceptada por terceros.
• Genera confianza al instante. Una conexión segura tranquiliza; el «No es seguro», ahuyenta. La gente no compra ni deja sus datos en una web que parece sospechosa, por muy buena que sea tu oferta.
• Mejora tu posicionamiento. Google confirmó ya en 2014 que HTTPS es un factor de posicionamiento. Dicho de otro modo: en igualdad de condiciones, una web con SSL puede posicionar mejor que una sin él. Si te tomas en serio el SEO, esto no es negociable.
• Cumples con la protección de datos. Si recoges información personal (y un simple formulario de contacto ya cuenta), tienes la obligación de protegerla. El SSL es la base de ese cumplimiento; sin él, estás manejando datos de otras personas sin la mínima seguridad.
• Es imprescindible si vendes o cobras online. Cualquier ecommerce o web que procese pagos necesita SSL sí o sí. Las pasarelas de pago ni siquiera funcionan sin él.
• Evita el cartel de la vergüenza. Ese «No es seguro» de Chrome desaparece en cuanto instalas el certificado. Tu web vuelve a verse profesional.

¿Cómo funciona el SSL?

Cuando alguien entra en tu web con SSL, pasa esto en milésimas de segundo:

1. El navegador pide credenciales. «Demuéstrame que eres quien dices ser.» Tu web responde enseñando su certificado SSL.
2. Se comprueba el certificado. El navegador verifica que lo ha emitido una autoridad de confianza y que sigue en vigor.
3. Se acuerda una clave secreta. Ambos pactan una especie de llave única que solo ellos conocen para esa sesión.
4. Empieza el cifrado. A partir de ahí, todo lo que se intercambia viaja codificado con esa llave.

Lo mejor de todo es que ese proceso ocurre solo, de forma automática, sin que el visitante note nada más allá de que la página carga con total normalidad. Ni clics extra, ni pasos raros: el SSL trabaja en segundo plano.

Tipos de certificados SSL: ¿cuál necesita tu web?

No todos los certificados son iguales. Se diferencian sobre todo en cuánto comprueban sobre ti antes de emitirse y en cuántos dominios cubren.

Según el nivel de validación

• DV (Validación de Dominio). El básico. Solo confirma que el dominio es tuyo. Se emite en minutos y es perfecto para blogs, webs corporativas o proyectos pequeños.
• OV (Validación de Organización). Sube un escalón: la autoridad certificadora comprueba además que tu empresa existe de verdad. Aporta más confianza y encaja bien en negocios ya consolidados.
• EV (Validación Extendida). El nivel máximo. Implica una verificación a fondo de la empresa. Es el típico de bancos, grandes tiendas online y sitios donde la confianza lo es absolutamente todo.

Según el número de dominios

• Simple (un solo dominio). Protege únicamente tu dominio. Lo justo si solo tienes tu web principal y nada más.
• Wildcard. Cubre tu dominio y todos sus subdominios (tienda.tuweb.com, blog.tuweb.com, etc.) con un solo certificado. Cómodo y rentable si manejas varios.
• Multidominio (SAN). Protege varios dominios distintos a la vez. Ideal si gestionas más de una web desde el mismo sitio.

¿Cuál te toca? Para la mayoría de pymes y autónomos, un DV (muchas veces gratuito) cumple de sobra. Si manejas pagos o datos sensibles a gran escala, ahí sí merece la pena subir de nivel.

¿SSL gratis o de pago?

Buena noticia: puedes tener SSL gratis. Iniciativas como Let’s Encrypt emiten certificados sin coste, y la mayoría de hostings los instalan con un par de clics. Para un porcentaje enorme de webs, esto es más que suficiente.

El cifrado de un certificado gratuito es exactamente igual de fuerte que el de uno de pago. Que sea gratis no significa que proteja menos. Lo que cambia no es la seguridad del cifrado en sí, sino otras cosas:

• El nivel de validación. Los gratuitos suelen ser solo DV. Si necesitas OV o EV, toca pasar por caja.
• La garantía y el soporte. Los certificados de pago incluyen seguros y soporte técnico que los gratuitos no ofrecen.
• La duración. Un certificado de Let’s Encrypt caduca cada 90 días y hay que renovarlo (normalmente de forma automática). Los de pago suelen durar más tiempo entre renovaciones.

¿Cómo saber si tu web ya tiene SSL?

• Mira la dirección. Si empieza por https:// (con esa «s»), tu web ya va cifrada. Si sigue en http:// o aparece un «No es seguro», te falta el certificado.
• Revisa tu panel de hosting. La mayoría te indica si el SSL está activo y cuándo caduca, sin tener que tocar nada raro.
• Tira de herramientas online. Hay verificadores gratuitos donde metes tu dominio y te dicen si el certificado está bien instalado, qué tipo es y cuándo expira.

Los certificados SSL caducan. Si el tuyo expira y nadie lo renueva, tu web pasa a mostrar un error de seguridad. Por eso lo ideal es tener la renovación automatizada y vigilada.

Dudas frecuentes sobre qué es el SSL

¿El SSL me protege de los hackers al 100%?

No, y conviene tenerlo claro desde ya. El SSL cifra la información en tránsito, pero no es un antivirus ni un escudo total. Tu web sigue necesitando contraseñas fuertes, actualizaciones al día y copias de seguridad. Si te preocupa la protección integral de tu negocio, eso entra en el terreno de la ciberseguridad.

¿Necesito SSL aunque mi web no venda nada?

Sí. Aunque sea una web puramente informativa, sin tienda ni pagos, te interesa: evitarás el cartel de «No es seguro» de Chrome, sumarás puntos de cara al SEO y protegerás cualquier formulario, por sencillo que sea. Hoy el SSL es estándar para todas las webs, no solo para las que cobran.

¿El SSL ralentiza mi web?

Casi nada. El cifrado añade un trabajo extra microscópico, pero con la tecnología actual (HTTP/2) el impacto es imperceptible. La ganancia en confianza y en posicionamiento compensa de sobra ese pelín de más.

El SSL ya no es opcional

Recapitulando lo esencial: el SSL es la tecnología que cifra la conexión de tu web, y el certificado SSL es el documento que la activa y pone la «s» de HTTPS. Sirve para proteger los datos de tus clientes, ganarte su confianza, cumplir con la ley y, de paso, echarle una mano a tu posicionamiento en Google.

En Dualthink nos encargamos de todo eso: instalamos, configuramos y vigilamos el certificado SSL como parte del diseño y mantenimiento de tu web.