Certificados SSL

Cuándo utilizar certificados SSL

Evaluación de los distintos casos en los que es necesario implementar seguridad bajo SSL:

1. Información personal o bancaria: los casos más evidentes en los que es necesario utilizar SSL en las transacciones son aquellos en los que un cliente se conecta con cualquier tipo de servidor y envía información que pueda ser sensible, especialmente si es información personal o bancaria.
2. Comercio electrónico: cualquier site en el que se realicen transacciones económicas es susceptible de sufrir ataques y robo de información bancaria, especialmente en el procesamiento de pagos por tarjeta de crédito o débito
3. Formularios online: los servicios que requieran el acceso o registro de un usuario, deben ser protegidos bajo SSL, incluso cuando no se contemple el envío de información sensible del punto anterior, ya que por ejemplo un atacante podría usurpar la identidad del usuario e incluso utilizarla para hacer login en otros servicios del usuario (recordemos que se recomienda que los usuarios tengan distintas contraseñas para distintos sitios pero esto muchas veces no ocurre)
4. Contenidos especialmente protegidos: cuando un contenido es especialmente protegido y no debe ser obtenido por cualquier otro destinatario, el acceso online debe ser mediante un canal cifrado como SSL. Un claro ejemplo sería por ejemplo cuando un paciente accede a su historial médico online.

Identificar la validez de un certificado

Cuando se accede a un servicio online, que típicamente suele ser HTTPS, es conveniente que los usuarios puedan identificar claramente que se trata de un sitio seguro. Para ello podemos seguir los siguientes consejos:

• Mensajes de advertencia: normalmente los navegadores más comunes, como Chrome, Firefox, Internet Explorer, Microsoft Edge, Safari y Opera muestran una alerta visual cuando desconfían de un certificado, mostrándolo en color rojo o bien mostrando una pantalla que indica que el certificado no es seguro
• El certificado no ha expirado: es importante que un certificado no haya expirado, ya que suelen ser emitidos por un período de 1 a 5 años
• Validación Extendida (EV), un plus de seguridad: los navegadores guardan la información de la empresa en el certificado para verificar que la web y el certificado pertenecen a esta. Este es el tipo de certificado más confiable ya que esa empresa ha seguido unos pasos de verificación manuales por parte de la entidad certificadora
• El sentido común: como siempre, recurrir a nuestro sentido común es la primera regla en seguridad. Por ejemplo, no abrir enlaces sospechosos recibidos por email o cualquier otro sistema de mensajería, desconfiar de fuentes peligrosas, revisar las url's a las que accedemos, etc.