HTTPS es la versión segura de HTTP, el protocolo que usa tu navegador para cargar sitios web. La "S" significa que la conexión está cifrada con TLS (Transport Layer Security, el sucesor de SSL). Hoy casi todos los sitios lo usan, y los navegadores te avisan cuando alguno no lo hace.
Qué protege HTTPS
- Confidencialidad: nadie en la red, como el operador de una wifi pública o tu proveedor de internet, puede leer las páginas, las contraseñas ni los formularios que envías.
- Integridad: nadie puede modificar la página por el camino, por ejemplo para insertar anuncios o malware.
- Autenticación: el certificado demuestra que el servidor está autorizado a usar ese nombre de dominio.
Qué no demuestra el candado
El candado significa "tu conexión con este dominio está cifrada". No significa que el sitio sea honesto. Los sitios de phishing también consiguen certificados gratuitos. Comprueba siempre el nombre de dominio en la barra de direcciones: paypal.com.secure-login.example no es PayPal.
Qué no oculta HTTPS
| Oculto por HTTPS | Sigue siendo visible para tu proveedor o la red |
|---|---|
| Las páginas que abres en el sitio | La dirección IP del sitio |
| Los datos de formularios y las contraseñas | Normalmente el nombre de dominio (por el DNS y el handshake de TLS) |
| Las cookies y el contenido | Cuándo y cuántos datos transfieres |
Para ocultar también los nombres de dominio, usa DNS cifrado y una VPN.
Cómo empieza una conexión TLS
- Tu navegador se conecta al servidor e indica qué versiones de TLS admite.
- El servidor envía su certificado, firmado por una autoridad de certificación (CA) en la que confía tu navegador.
- El navegador comprueba la firma, el nombre de dominio y la fecha de caducidad.
- Ambas partes acuerdan las claves de cifrado, y la página se envía cifrada.
Con TLS 1.3 esto tarda unos pocos milisegundos.
Certificados
- Validación de dominio (DV): demuestra el control del dominio. Gratuito con Let's Encrypt y la mayoría de los proveedores de alojamiento. Es el que usan la mayoría de los sitios.
- Validación de organización / validación extendida (OV/EV): la CA también verifica la empresa. Los navegadores ya no lo muestran de forma destacada.
Los propietarios de dominios pueden restringir qué CA pueden emitir certificados con un registro CAA. Compruébalo con nuestra Consulta DNS.
Comprueba las cabeceras de seguridad de un sitio
HTTPS es el punto de partida. Cabeceras como HSTS y Content-Security-Policy añaden más protección. Consulta las cabeceras de cualquier sitio y su nota con el Comprobador de cabeceras HTTP.
Avisos de certificado
Si tu navegador muestra "La conexión no es privada":
- Puede que el certificado haya caducado o que no coincida con el dominio.
- En una wifi pública, un portal cautivo o un atacante puede estar interceptando la conexión.
- Puede que el reloj de tu ordenador esté mal.
No introduzcas contraseñas en una página con un aviso de certificado.
Preguntas frecuentes
¿SSL es lo mismo que TLS?
TLS sustituyó a SSL en 1999. La gente sigue diciendo "certificado SSL", pero todos los sitios modernos usan TLS.
¿HTTPS hace que un sitio sea seguro?
Hace que la conexión sea segura. El contenido y las intenciones del sitio son otra cuestión.
¿Influye HTTPS en el posicionamiento en buscadores?
Google usa HTTPS como una pequeña señal de posicionamiento, y Chrome marca los sitios HTTP como "No seguro".