HTTP frente a HTTPS: qué protege una conexión segura
HTTP define las solicitudes y respuestas entre un cliente y un servidor web. HTTPS utiliza la misma semántica web sobre una conexión protegida: los datos se cifran y el cliente comprueba que el servidor está autorizado para el nombre que figura en la barra de direcciones. Esto protege el intercambio durante la transmisión, no la honradez del propietario del sitio.
Qué cambia con HTTPS
Con HTTP ordinario, un tercero situado en el recorrido de red puede leer o alterar el contenido. HTTPS negocia un canal seguro y comprueba un certificado para el nombre de host solicitado. Los sitios modernos pueden usar TLS sobre TCP para HTTP/1.1 o HTTP/2, o QUIC para HTTP/3. Por tanto, HTTPS no está ligado a una sola versión de HTTP. Protege la confidencialidad y la integridad de los datos entre el navegador y el extremo de esa conexión protegida.
Algunos datos de una conexión pueden seguir siendo visibles para la red, como la dirección IP remota y la cantidad aproximada de datos transferidos. Los proxies, la inspección corporativa y los recursos de terceros también pueden cambiar dónde se sitúan los límites de confianza. HTTPS no hace privadas todas las acciones ni sustituye la seguridad de las cuentas.
Qué demuestra un certificado
El navegador comprueba que el certificado cubre el nombre solicitado, que tiene una cadena de confianza aceptable y que cumple su política de seguridad. Una advertencia por un nombre de host incorrecto, por caducidad o por un emisor no fiable no debe resolverse desactivando la verificación. Lea el error exacto: un reloj del dispositivo mal ajustado también puede hacer que las fechas parezcan no válidas.
Un certificado válido para example.org conecta el navegador con ese nombre; no demuestra que el sitio venda productos auténticos ni que diga la verdad. Un sitio de phishing puede obtener un certificado válido para su propio dominio engañoso. Compruebe el nombre de host completo antes de introducir una contraseña, sobre todo después de seguir un mensaje o un anuncio. Si quiere revisar el servidor, utilice la comprobación de servicios de servidor de 2IP.
Qué deben hacer usuarios y propietarios
Los usuarios deben evitar enviar contraseñas o datos de pago por HTTP. Si HTTPS muestra una advertencia, no la omita para acciones sensibles. Los propietarios deben redirigir las solicitudes HTTP a HTTPS, mantener certificados para todos los nombres de host que usen y evitar cargar por HTTP recursos sensibles de la página. Tras una migración, pruebe los formularios, los recursos incrustados y las URL canónicas, además de la página de inicio.
El RFC 9110 define los esquemas HTTP y HTTPS y su semántica común. La herramienta de información de sitios web puede mostrar detalles técnicos, pero esos detalles no valoran la honradez del propietario. Otra guía explica cómo interpretar los errores de certificados TLS.