Securización global de la web

Revisado en 2022.

Tranquilos, todo va bien. Es sólo para llamar la atención.

En su día, todos nos planteamos si debíamos securizar nuestras webs a la mayor brevedad. Sí sí, nos referimos a los SSL; del gran cambio de http:// a https://

Hace ya tiempo que esta «s» empezó a influir en nuestro posicionamiento en la red. Pero aún hay sitios que no cuentan con este escudo de seguridad aunque ya pocos, o tienen un certificado que caduca y necesita una alternativa permanente.

Para quienes tengáis un interés especial en el tema, para una buena SEO, por lo que respecta a los ‘SERP‘, comenzaríamos por «instanciar» algunos conceptos generales:

SERP
Son las «Search Engine Results Page», o página de resultados de los motores de búsqueda. Vienen a ser los resultados de un examen mostrados en una página de buscador, como Google, Bing o Yahoo!. En otras palabras, los SERP son los responsables de la posición que ocupa nuestro sitio en una búsqueda por la red, y del ascenso o descenso de popularidad de la misma. El éxito web de nuestra tienda, nuestro negocio virtual o nuestra compañía de servicios, depende cada vez más de estos «elementos». Y nuestra posición depende de factores lógicos (web atractiva y responsiva, con buenas prácticas y acertados contenidos, con actualización dinámica de productos…) y otros a priori no tan previsibles. De entre éstos, vamos a ocuparnos de uno. El SSL y TSL-vale, son dos-.

SSL: «Secure Sockets Layer», o capa de puertos seguros,  es un protocolo de seguridad que fue desarrollado originalmente por Netscape.

TSL: Transport Layer Security, en español «seguridad de la capa de transporte».

Ambos, SSL y TSL son protocolos criptográficos que producen seguridad en las redes.

OpenSSL es un robusto paquete de herramientas que ayudan al sistema de código a implementar el SSL y TSL.
OpenSSL también permite crear certificados digitales a un servidor, (Apache, por ejemplo).
Estos certificados de seguridad proporcionan la ‘s‘ de los https. Y aquí llegamos al quid de la cuestión. En la ‘s‘, al final del ‘http’ de casi toda la vida.

¿Por qué https? ¿Es necesario? Una sóla letra, ¿puede afectar tanto?
La s (de secure) indica a todo el mundo que la web es segura, y que nuestros datos (claves, campos de un formulario) van a ser debidamente encriptados (SSL y TSL) y protegidos, para evitar intromisiones indeseadas.

 

El protocolo HTTPS envía la información cifrada. Así es casi imposible que nadie pueda saber qué datos se están enviando o recibiendo a través de la web.

Y es que, con el tiempo, la red se ha vuelto muy vulnerable en la protección de ciertos datos. Y Google ya ha manifestado lo siguiente: desde 2017, las direcciones que no sean seguras, estarán «marcadas» con un aviso de seguridad. Serán amonestadas con ‘tarjeta amarilla’.

Aunque este aviso sería al principio ‘pequeñito’ -en la barra de navegación-, hoy día ya ha llegado a ser determinante para el SEO. ¿Por qué? Debido a las páginas de resultados (SERP), que detectarían un índice x de rechazo al acceso a http -sin s- en la navegación de los usuarios. ¿La fórmula para hallar el número x? Por determinar, pero aumentando cada día.

Si nuestro sitio web aún es de los antiguos o neceista seguir contando con un certificado de seguridad (https)… ¿qué hacemos?, ¿gritamos?. Primero, mejor apagar la alarma. Tras tomarnos una tila, consultamos con expertos en el tema, y nos dicen que, a fecha de hoy, las cosas están así:

Se puede tener un https pagando o sin gastar un euro. ¿Que uno prefiere pagar? Hay muchas ofertas en la red. Certificados desde 0 € hasta más de 300 € -aunque ésto ya depende del servicio contratado, por ejemplo, una garantía asegurada-. ¿Que uno prefiere no pagar?

---

LA MEJOR SOLUCIÓN…

Desde hace no mucho tiempo, incluido en los servicios de hosting, ya se puede obtener sin coste alguno un certificado que permite disponer una web con protocolo seguro (https). Y para la mayoría de sitios web, es más rápido y sencillo.

Como IONOS, importante proveedor mundial de hostings, líder en Europa. Incluido al servicio de hospedaje, ya podemos disponer, en todos los packs, de un certificado wildcard gratuito, además de otras opcionales (de pago, que protegen contra malwares y otras posibles amenazas)

---

SI ERES PROGRAMADOR@…

… o te manejas bien con los protocolos de gestión, tal vez te veas tentado a la autosuficiencia operativa. Pero, ¿es sencillo instalar un certificado SSL uno mismo? Si ya manejamos datos personales, formularios, o un e-comerce, ¿podemos securizar nosotros mismos nuestra web?

Si la programación fuese magia, David Copperfield nos diría:

Atención! En el .htacces insertad este código:

RewriteEngine on RewriteCond %{HTTPS} !=on RewriteRule ^.*$ https://%{SERVER_NAME}%{REQUEST_URI} [R,L]

Vale, venga, ¡hasta luego!

No lo hagáis. No funcionaría -sólo al final de un proceso un poco más elaborado-Hubiera estado bien, ¿eh?-.

PISTAS…

Paso 1: Preparar un buen café.

Paso 2: Conseguir un certificado SSL.

Debemos instalar un «Certificado SSL» en el Hosting para poder disfrutar de nuestro ‘Volvo’ (coche más seguro). Ya dijimos que podía ser pagando o trabajando. Lo siento, es hora de trabajar.

Para instalar un certificado, hay que solicitarlo. ¿A quién? Dos principales opciones:

• 1ª Opción. A través de startssl.com. En la página linuxito (https://www.linuxito.com/seguridad/292-como-obtener-un-certificado-ssl-gratis) explica detalldamente el proceso.
• 2ª Opción. A través de «Let’s Encrypt». De entrada, quizás la opción recomendada. Pero, ¿qué es Let’s Encrypt?

–LET’S ENCRYPT.  es una creación de la Fundación Linux (y recordemos la variable universal: «fundación=sin ánimo de lucro»). Es una entidad certificadora que ofrece certificados SSL abiertos, libres, gratuitos y automáticos. Accedemos desde el siguiente link: INSTRUCCIONES PARA LA OPCIÓN GRATUITA.

Quizás entramos en terreno de debate peliagudo, de alto nivel si consideramos que todo tiene un precio; incluso lo gratuito es… a cambio de algo. Aunque no olvidemos que detrás de Let’s Encrypt están las más grandes instituciones de la red. Y el https ya está muy extendido y generalizado. Véase, según fuentes de WordPress, que también secundan este importante proyecto, donde encontramos las siguientes:

Información obtenida a través de ayudawp.com

Estaremos muy pendientes en los foros, de la opinión de usuarios y desarrolladores y del éxito de estas propuestas, que prometen ser una alternativa más que plausible a la opción de pago ‘tradicional’.

Así que, mejor dispensamos un «continuará….«, aunque no olvidemos que las compañías de hospedaje (de dominio y/o web) ya ofrecen soluciones gratuitas o a medida, a precios muy competitivos. Incluso gratuitos.