¿Qué diferencias hay en materia de seguridad entre los certificados SSL gratuitos y los de pago?

Un certificado SSL gratuito no es intrínsecamente menos seguro que uno de pago. Siempre que ambos sean de confianza para los navegadores, utilicen claves y algoritmos adecuados y estén configurados en servidores equivalentes, pueden ofrecer el mismo nivel de cifrado HTTPS para la transmisión de datos. Lo que se paga principalmente es una verificación de identidad más exhaustiva, soporte y capacidad de gestión, no simplemente un «cifrado más potente».

Para evaluar las diferencias entre los certificados SSL gratuitos y los de pago, hay que distinguir tres cuestiones: si los datos están protegidos durante la transmisión, si se ha verificado la identidad de la entidad detrás del sitio web y si el certificado puede funcionar de forma continua y correcta. El precio no sustituye a ninguna de estas comprobaciones.

La intensidad del cifrado no depende del precio del certificado

Los certificados SSL, como se conocen habitualmente, se utilizan en las conexiones TLS de los sitios web modernos. Ayudan al navegador a verificar la identidad del servidor y participan en el establecimiento de una conexión cifrada. El protocolo y el conjunto de cifrado utilizados dependen también de la negociación entre el servidor y el navegador.

Por tanto, si un sitio web utiliza un certificado de confianza, una configuración de claves adecuada y TLS 1.2 o TLS 1.3, el hecho de que un certificado sea gratuito y otro de pago no crea automáticamente una diferencia en el nivel de cifrado. Afirmar que «todos los certificados de pago utilizan cifrado de 256 bits y los gratuitos tienen un cifrado más débil» confunde las claves del certificado, los algoritmos de cifrado de la conexión y el precio comercial.

A la inversa, un certificado de pago tampoco puede compensar una clave privada expuesta, una vulnerabilidad del servidor o una configuración incorrecta. HTTPS protege el canal de transmisión, pero no impide que se inyecte código malicioso en un sitio web ni garantiza que los datos de los clientes enviados a través de formularios se almacenen correctamente.

La diferencia real está en quién se verifica

Los servicios de certificados gratuitos suelen ofrecer certificados de validación de dominio (DV). La entidad emisora confirma, mediante un método de validación determinado, que el solicitante controla el dominio, pero no verifica por ello la entidad que opera el sitio, su capacidad para cumplir sus obligaciones ni su reputación comercial. Un certificado de pago también puede ser simplemente de tipo DV; el hecho de que sea de pago no significa que se haya verificado la identidad de la empresa.

El valor de los certificados OV y EV reside en añadir información verificable sobre la entidad, no en aumentar la intensidad del cifrado cuando la configuración es equivalente. Los principales navegadores no muestran de forma destacada y generalizada el nombre de la empresa en la barra de direcciones por utilizar un certificado EV; es posible que haya que consultar los detalles del certificado para ver esa información. Por eso, antes de comprar, conviene confirmar si la actividad realmente requiere este tipo de verificación de identidad, en vez de pagar por una «señal de seguridad avanzada» que quizá se espera ver.

Los sitios de phishing también pueden obtener certificados DV válidos. Que el navegador indique que la conexión está protegida solo significa que se ha conectado al dominio correspondiente al certificado; no significa que ese dominio sea el sitio web oficial de la marca que el visitante pretendía consultar.

Las diferencias de seguridad en la práctica suelen aparecer en la renovación y la implementación

En los sitios web de captación de consultas y las tiendas en línea, un certificado caducado provoca advertencias del navegador y afecta al acceso, al envío de formularios y a las transacciones. Lo que realmente hay que comparar es quién se encarga de la renovación, si se generan alertas cuando esta falla y si los problemas pueden resolverse rápidamente.

Un certificado gratuito no implica que solo pueda gestionarse manualmente. Los servicios compatibles con el protocolo ACME pueden automatizar la solicitud y la renovación; con una automatización adecuada, una vida útil más corta del certificado no tiene por qué aumentar la carga de trabajo manual. Los certificados de pago también tienen una vigencia limitada y requisitos de reemisión. La duración del contrato de compra no equivale al periodo durante el cual puede utilizarse continuamente un solo certificado.

El valor práctico de un plan de pago puede consistir en asistencia para la implementación, gestión centralizada, gestión de activos de varios dominios o un servicio de respuesta acordado, pero no todos los productos incluyen estas prestaciones. Hay que comprobar el alcance del servicio: si el soporte cubre la instalación en el servidor, la configuración de CDN, los errores de validación y la sustitución urgente del certificado, o si solo proporciona el archivo del certificado.

En los sitios web que utilizan una CDN o un proxy inverso, también hay que revisar los dos tramos de conexión: «del navegador a la CDN» y «de la CDN al servidor de origen». Que HTTPS esté habilitado en el primer tramo no significa que el segundo también esté cifrado ni que el certificado se valide correctamente. Comprar un certificado más caro no soluciona automáticamente estos problemas de configuración de la conexión.

Qué motivos para pagar son válidos y cuáles suelen exagerarse

Si el sitio web se dedica principalmente a mostrar productos y recibir consultas, y la plataforma de alojamiento ofrece un certificado de confianza, renovación automática y supervisión de fallos, un certificado DV gratuito suele bastar para cifrar la transmisión. Las actividades sensibles, como el inicio de sesión y los pagos, tampoco son intrínsecamente inseguras por utilizar un certificado gratuito; deben evaluarse teniendo en cuenta la arquitectura de pagos, la protección de las cuentas y los requisitos de tratamiento de datos.

Si la auditoría de seguridad de un socio exige expresamente una validación de la organización, o la empresa necesita gestionar de forma unificada numerosos dominios y contar con compromisos claros de respuesta del servicio, un plan de pago ofrece una justificación de compra cuantificable. En ese caso, conviene comparar por separado el tipo de certificado, la cobertura de dominios y los servicios de mantenimiento, en vez de comparar únicamente las marcas y los precios.

Algunos certificados comerciales incluyen compromisos de indemnización, pero los eventos cubiertos, los beneficiarios y las condiciones para reclamar están sujetos a los términos del servicio. Esto no significa que se vaya a recibir una indemnización si el sitio web sufre un ataque o se producen pérdidas en las transacciones. El importe de la indemnización no es un indicador de la intensidad del cifrado.

El SEO tampoco es, por sí solo, una razón suficiente para comprar un certificado de pago. HTTPS es una configuración básica del sitio web, pero no permite concluir que «un certificado de pago posiciona mejor que uno gratuito». Del mismo modo, un certificado no sustituye a las medidas de cumplimiento, como los avisos de privacidad, el control de acceso y la protección de los datos almacenados.

La elección debe basarse en condiciones verificables

Antes de comprar, hay que confirmar la compatibilidad de confianza con los navegadores y dispositivos de destino, comprobar que están cubiertos el dominio principal, los subdominios y cualquier otro dominio independiente, y definir las responsabilidades relativas a la custodia de las claves privadas, las alertas de renovación y la resolución de problemas. Los certificados comodín también tienen límites de cobertura; no se debe dar por sentado que uno solo cubre dominios de todos los niveles.

Si estas condiciones ya están garantizadas de forma fiable por el servicio de creación del sitio web o de alojamiento, elegir un certificado gratuito no supone rebajar los estándares de seguridad. Si no se dispone de capacidad para mantenerlo de forma continua, contratar un servicio que incluya responsabilidades de mantenimiento claramente definidas resulta más útil que comprar por separado un certificado caro. El presupuesto debe destinarse a requisitos de identidad verificables y garantías operativas, no a la impresión de que «pagar significa más seguridad».