¿Hablamos?

Certificado SSL/TLS: qué es, qué protege y qué tipo elegir

Tabla de contenidos
Artículos relacionados

Un certificado SSL (técnicamente TLS desde hace años, aunque la industria sigue usando «SSL» por costumbre) es la pieza que hace que el navegador muestre el candado y que tu web sirva por https://. Sin él, los datos viajan en texto plano entre el navegador y el servidor.

Hoy no tener SSL es directamente un problema. Chrome marca el sitio como «No seguro», Google penaliza en SEO, las pasarelas de pago lo exigen y los gestores de contraseñas avisan al usuario. Esta guía explica los tipos disponibles y cómo decidir qué usar.

Qué protege un certificado SSL/TLS

  • Confidencialidad: cifra los datos en tránsito entre cliente y servidor. Nadie en el camino (Wi-Fi público, proveedor de internet, atacante en medio) puede leer el contenido.
  • Integridad: detecta si los datos han sido manipulados en tránsito.
  • Autenticidad: garantiza que el servidor al que te conectas es realmente el dueño del dominio (no un atacante haciéndose pasar por él).

Lo que no protege: vulnerabilidades de la aplicación (SQLi, XSS), el servidor en sí, ni la base de datos. SSL/TLS es transporte; el resto sigue siendo responsabilidad tuya.

Tipos de certificado SSL

DV (Domain Validation), el más común

Verifica solo que controlas el dominio (por DNS o por colocar un archivo de validación). Se emite en minutos. Let’s Encrypt y la mayoría de SSL «gratis» caen aquí. Es suficiente para la gran mayoría de webs corporativas, ecommerce de tamaño pequeño-mediano y aplicaciones SaaS.

OV (Organization Validation), verifica la organización

Además del dominio, valida que tu organización existe legalmente (Registro Mercantil, CIF). Lo emite una autoridad certificadora previo pago y trámite (días, no minutos). El navegador muestra el certificado normal (candado), pero al inspeccionarlo aparece la empresa.

Útil para webs corporativas que quieren transmitir formalidad ante usuarios técnicos que revisan el certificado.

EV (Extended Validation), la barra verde clásica

Validación más estricta de la organización. Hace años mostraba la barra verde con el nombre de la empresa en el navegador. Los navegadores eliminaron esa barra hace tiempo: hoy un EV se ve igual que un DV. Sigue existiendo pero su valor visual es nulo y su coste mucho mayor.

Solo tiene sentido en casos muy específicos (banca, requisitos de cumplimiento).

Wildcard, multi-dominio (SAN)

  • Wildcard (*.dominio.com): protege todos los subdominios con un único certificado. Útil cuando hay muchos subdominios cambiantes.
  • SAN/Multi-dominio: protege varios dominios distintos en un solo certificado. Útil si gestionas varias marcas con la misma infraestructura.

Let’s Encrypt vs certificados comerciales

Let’s Encrypt es una autoridad certificadora gratuita que emite DV con certificados válidos por 90 días, renovables automáticamente (con certbot o el cliente que use tu hosting). Ventajas:

  • Gratis.
  • Renovación automática estándar.
  • Integrado en la mayoría de paneles de hosting (cPanel, Plesk, CyberPanel) y en plataformas cloud.
  • Aceptado por todos los navegadores modernos.

¿Cuándo pagar por un certificado comercial?

  • Necesitas OV/EV por requisito de cumplimiento.
  • Necesitas wildcard de larga duración con garantía contractual de la CA.
  • Tienes equipos legacy que no aceptan automatización Let’s Encrypt.
  • Quieres SLA y soporte de la autoridad emisora.

Para la mayoría de webs corporativas, Let’s Encrypt cubre el caso.

Qué pasa si no tienes SSL en 2026

  • Aviso del navegador: Chrome, Firefox y Safari muestran «No seguro» en la barra de direcciones. Impacto en conversión inmediato.
  • SEO penalizado: Google usa HTTPS como factor de posicionamiento desde 2014. Sin él pierdes posiciones.
  • Pasarelas de pago no aceptan: Stripe, Redsys, PayPal no procesan checkout sin HTTPS.
  • Cumplimiento RGPD: el tratamiento de datos personales sin transporte cifrado es un incumplimiento.
  • Pérdida de confianza: ningún usuario con un mínimo de criterio introduce datos en una web sin candado.

Buenas prácticas

  • TLS 1.2 mínimo, idealmente 1.3. TLS 1.0 y 1.1 están obsoletos y los navegadores los rechazan.
  • HSTS habilitado (Strict-Transport-Security) para forzar HTTPS en visitas futuras.
  • Redirect 301 de HTTP a HTTPS en el servidor web (Nginx, Apache) o en el CDN.
  • Calificación SSL Labs mínimo A. Si tu config es B o inferior, hay cosas que ajustar (cifrados débiles habilitados, falta de OCSP stapling, etc.).
  • Renovación automatizada, sin excepciones. Un SSL caducado es una caída.

¿Te ayudamos con el SSL y la seguridad del servidor?

En Elimática configuramos certificados SSL/TLS, automatizamos renovaciones, protegemos servidores web y revisamos su seguridad de arriba abajo.

Servidores gestionados | Diagnóstico gratuito.

Preguntas frecuentes

¿Qué es un certificado SSL y cómo funciona?

Es un fichero que emite una autoridad certificadora y que vincula tu dominio con una clave criptográfica. Cuando alguien entra en tu web, el navegador y el servidor negocian una conexión cifrada en el handshake TLS, comprueban que el certificado es válido y que lo ha emitido una autoridad de confianza, y a partir de ahí todo el tráfico viaja cifrado. Eso es lo que hace que la dirección sea https:// y que aparezca el candado.

¿Cuál es la diferencia entre un certificado SSL y TLS?

Ninguna en la práctica. SSL es el protocolo antiguo, ya retirado, y TLS es su sucesor; lo que hoy se vende e instala como «certificado SSL» son certificados X.509 que se usan con TLS. El nombre SSL sobrevive por costumbre comercial. Lo que sí importa es qué versión de TLS tienes habilitada en el servidor, no cómo se llame el certificado.

¿Cuál es la diferencia entre HTTP, HTTPS, SSL y TLS?

HTTP es el protocolo con el que el navegador pide páginas al servidor y viaja en texto plano. TLS es la capa que cifra ese tráfico, y SSL es el nombre antiguo de esa misma capa. HTTPS es el mismo HTTP transportado dentro de TLS, y el certificado es lo que permite establecer esa capa cifrada.

¿Para qué sirve un certificado SSL?

Sirve para tres cosas. Confidencialidad, porque cifra los datos en tránsito y nadie en el camino puede leerlos; integridad, porque detecta si se han manipulado; y autenticidad, porque acredita que el servidor es realmente el dueño del dominio. Lo que no hace es proteger la aplicación, así que un SQLi o un XSS siguen siendo problema tuyo aunque tengas el candado.

¿El certificado SSL es gratis?

Sí para el caso habitual. Let's Encrypt emite certificados DV gratuitos, válidos 90 días y renovables de forma automática, con el mismo cifrado y la misma confianza en el navegador que uno de pago. Solo compensa pagar si necesitas validación de organización (OV o EV) por cumplimiento, un wildcard de larga duración con garantía contractual, o soporte y SLA de la autoridad emisora.

¿Qué es un certificado SSL wildcard y para qué sirve?

Es un certificado emitido para *.dominio.com que cubre con una sola pieza todos los subdominios de ese nivel. Compensa cuando gestionas muchos subdominios o cambian a menudo, del tipo app., api. o panel.. Si lo que tienes son dominios distintos necesitas un multi-dominio (SAN), y con uno o dos subdominios fijos sale mejor emitir un certificado para cada uno.

¿Qué es un certificado SSL autofirmado?

Es un certificado que generas tú mismo sin pasar por una autoridad certificadora. Cifra igual de bien, pero ningún navegador lo reconoce, así que muestra una advertencia de seguridad a pantalla completa a cualquiera que entre. Vale para entornos internos, pruebas o comunicación entre servicios que controlas, nunca para una web pública.

¿Qué versión de TLS debe tener habilitada un servidor?

TLS 1.2 como mínimo y TLS 1.3 siempre que el stack lo permita. TLS 1.0 y 1.1 están formalmente obsoletos desde el RFC 8996 y los navegadores modernos los rechazan, así que dejarlos activos añade superficie de ataque sin ganar compatibilidad útil. Para comprobarlo, pasa el dominio por SSL Labs y no te conformes con menos de una A.

Contactar