Configuraciones de SSL/TLS que ponen en riesgo tu sitio

Para la mayoría de los visitantes, HTTPS es binario: el candado está o no está. Para un atacante, TLS es un espectro. Un certificado puede ser válido y de confianza mientras la configuración detrás aún permite ataques de degradación, filtraciones entre subdominios o se rompe en silencio el mes que viene al caducar. Esto es lo que un análisis busca más allá de «¿es HTTPS?».

Certificados a punto de caducar

La caducidad es el incidente de TLS más común y más evitable. Con vidas de certificado cada vez más cortas, la renovación manual ya no es realista. Automatiza la emisión y la renovación (ACME / Let's Encrypt o los certificados gestionados de tu plataforma) y avisa bastante antes de la fecha de caducidad, no el mismo día. Un análisis muestra los días restantes para que un certificado de vida corta no te sorprenda.

Cadenas de certificado incompletas

Un servidor que envía su certificado de hoja pero omite el intermedio funcionará en tu navegador —porque ya tiene el intermedio en caché— y fallará en el de otra persona. Es el clásico fallo de TLS «a mí me funciona». Sirve siempre la cadena completa:

openssl s_client -connect example.com:443 -servername example.com -showcerts

Si la salida muestra un solo certificado, tu cadena está incompleta.

Protocolos y cifrados débiles aún habilitados

TLS 1.0 y 1.1 están obsoletos y deben deshabilitarse; también los cifrados de grado exportación y RC4. Guía moderna:

• Admite solo TLS 1.2 y TLS 1.3.
• Prefiere suites con secreto hacia adelante (ECDHE).
• Deshabilita RC4, 3DES y todo lo marcado como EXPORT.
• Activa OCSP stapling para acelerar las comprobaciones de revocación.

Contenido mixto en páginas HTTPS

Una página HTTPS que carga un script, una hoja de estilos o una imagen por http:// da a un atacante un punto de apoyo en una página que debería ser segura —y el navegador bloqueará igualmente las partes activas, rompiendo tu interfaz—. Encuentra y corrige cada referencia absoluta http://, o deja que el navegador las actualice:

Content-Security-Policy: upgrade-insecure-requests

Sin redirección de HTTP a HTTPS

Si http://yoursite.com sirve contenido en lugar de redirigir, cada primera visita es una petición en texto plano. Redirige todo HTTP a HTTPS con un 301/308 y luego fuérzalo con HSTS para que el navegador no vuelva a probar HTTP (consulta el error n.º 1 en la guía de cabeceras de seguridad).

Certificados comodín estirados demasiado

Un certificado *.example.com en servicios no relacionados significa que una clave privada robada los compromete a todos. Es cómodo, pero amplía el radio de impacto. Limita el alcance de los certificados a los servicios que realmente necesitan compartirlos.

Compruébalo de forma continua, no una sola vez

La configuración de TLS se desvía: un subdominio nuevo, un cambio de balanceador, una renovación olvidada. Integra una comprobación de TLS en la misma cadencia que usas para las cabeceras —Cómo leer un informe de análisis de seguridad web explica cómo convertir estos hallazgos en un plan semanal, y la página de precios muestra los límites de análisis para mantenerlo programado.