Entre las amenazas de ciberseguridad global cada vez mayores y los estándares de seguridad más estrictos de Google, es más importante que nunca que los dueños de negocios tomen medidas activas para proteger sus sitios.
De lo contrario, se está poniendo en riesgo tanto a usted como a sus clientes. No es bueno.
¡Pero hay esperanza! Puede mostrar a los usuarios que pueden confiar en usted ofreciéndoles una experiencia segura y encriptada a través de algo llamado Protocolo seguro de transferencia de hipertexto (HTTPS) . Para usar HTTPS , deberá comprar un certificado de Capa de conexión segura (SSL) o Seguridad de la capa de transporte (TLS) , que prueba que su sitio es seguro. Cubriremos más sobre esto más adelante.
Esta publicación explicará qué son SSL/TLS y HTTPS y discutirá la importancia de tener estas funciones en su sitio web. Luego, le mostraremos cómo implementar un certificado SSL/TLS. ¡Saltamos!
Una introducción a SSL/TLS y HTTPS
SSL y TLS son certificados que puede agregar a su sitio web. Crean conexiones encriptadas entre navegadores y servidores web. Cuando visitas un sitio que utiliza una conexión certificada con SSL o TLS, solo ese sitio puede acceder a los datos que envías.
SSL es el predecesor de TLS, que ahora se considera obsoleto e inseguro. Sin embargo, el acrónimo ‘SSL’ a menudo se usa indistintamente cuando se hace referencia a cualquier tipo de certificado. Por lo tanto, nos referiremos a ellos como ‘SSL/TLS’.
Para configurar SSL/TLS, deberá instalar un certificado en su sitio. Esto asegurará a los usuarios que su sitio es seguro. En la práctica, su sitio utilizará el protocolo HTTPS para establecer conexiones. Puede reconocer esto como la versión segura del HTTP estándar.
Así es como HTTPS protege su sitio web
- Cifrado para evitar que los datos sean interceptados durante el proceso de intercambio.
- Integridad de datos para que los intentos de alterar los datos sean detectables.
- Autenticación para prevenir ataques y generar confianza en los usuarios.
SSL/TLS le permite entregar su sitio usando HTTPS, lo que garantiza una conexión segura y privada entre su sitio y sus usuarios. Si la URL de un sitio usa http:// , no está protegida con SSL/TLS. Sin embargo, si usa https:// , es seguro, y necesita un certificado SSL/TLS para que eso suceda.
En Google Chrome, puede identificar los sitios que se sirven a través de HTTPS mediante el icono de candado en la barra del navegador. Cuando un visitante solicita conectarse a un sitio web, la página envía el certificado SSL, que contiene la clave pública necesaria para asegurar la sesión. Luego, el servidor y el navegador ingresan a un proceso conocido como protocolo de enlace SSL/TLS. En pocas palabras, las computadoras se comunican entre sí para establecer una conexión segura.
Por qué un certificado SSL/TLS es importante para su sitio web
Tener un certificado SSL/TLS (y, a su vez, servir una conexión HTTPS) es fundamental para la seguridad de su sitio web. Garantiza que nadie podrá interceptar o acceder a la transferencia de datos entre su servidor y los navegadores de sus visitantes (también conocidos como ataques man-in-the-middle).
Estos no son los únicos tipos de ataques. A principios de este año, se encontró una vulnerabilidad en mitmproxy: un proxy HTTPS de código abierto que permitiría ataques de contrabando de solicitudes HTTP.
Con tantas amenazas de seguridad que plagan Internet, es imprescindible utilizar el protocolo HTTPS. De hecho, a partir de julio de 2018, Google Chrome comenzó a enumerar los sitios que usan HTTP como «no seguros» :
Perder la confianza de Google puede afectar gravemente su ranking de búsqueda. También puede hacer que los visitantes desconfíen de su sitio. Después de todo, si su navegador les advierte que su sitio podría ser peligroso , es más probable que vea una pérdida de tráfico.
Google comenzó a cambiar su algoritmo en 2014 para favorecer los sitios que utilizan certificados SSL. Hoy, está poniendo aún más énfasis en ellos, afirmando que aquellos con certificados SSL superarán a los que no lo tienen, incluso cuando todos los demás factores son los mismos.
Otra razón importante para instalar un certificado SSL/TLS es si se encuentra en una industria que requiere que cumpla con ciertos estándares. Por ejemplo, en la industria financiera, se requiere cumplir con los estándares de seguridad con respecto a la información de pago. La industria de tarjetas de pago (PCI) establece pautas que los propietarios de sitios deben cumplir para aceptar de manera segura información de tarjetas de crédito en sus sitios web.
Cómo saber si su sitio web está utilizando SSL/TLS
Es importante asegurarse de que su sitio web utilice un certificado SSL o TLS. También es esencial monitorearlo continuamente para asegurarse de que no haya caducado. Un informe de Keyfactor encontró que, en los últimos dos años, el 81% de las empresas enfrentaron una interrupción relacionada con el certificado.
Si su certificado vence inesperadamente, puede poner en riesgo su sitio. Las interrupciones pueden tardar horas en recuperarse y el tiempo de inactividad prolongado puede dañar su negocio.
Verificar si tiene un certificado SSL/TLS válido es un proceso muy simple. Para comenzar, abra su sitio web en Google Chrome (o cualquier otro navegador). Luego, revisa la barra de direcciones en la parte superior de tu navegador para ver si tu sitio usa http:// o https://.
También puede ver un candado de color junto a la URL. Si el color es rojo, entonces su sitio no usa SSL/TLS. Sin embargo, si su sitio está protegido con SSL/TLS, es posible que vea un candado verde:
Sin embargo, no todos los sitios certificados por SSL/TLS muestran este ícono. Su presencia depende del tipo de validación utilizada (más sobre esto más adelante). Por ejemplo, algunos certificados SSL/TLS mostrarán un icono gris simple en su lugar:
Esto significa que es posible que el sitio no sea seguro, pero el navegador no puede determinarlo con seguridad. Si su sitio no parece estar protegido con SSL/TLS, es posible que aún tenga un certificado. Sin embargo, lo más probable es que haya caducado, lo que puede comprobar haciendo clic en el icono de advertencia junto a la URL:
Aquí, puede hacer clic en el enlace Certificado para ver más información. Por ejemplo, podemos ver que este sitio tiene un certificado SSL/TLS, pero ha caducado:
Finalmente, también es posible que tenga un certificado SSL/TLS válido y actualizado, pero su sitio no lo usa de manera predeterminada. En ese caso, deberá obligar a su sitio a redirigir a HTTPS .
Diferentes tipos de certificados SSL
Si descubrió que su sitio no tiene un certificado SSL/TLS, deberá comprar uno. Sin embargo, antes de hacerlo, debe saber qué tipo de certificado está buscando.
Los certificados SSL/TLS vienen en muchas formas, todas las cuales tienen sus ventajas y desventajas únicas. Para adquirir uno, su sitio deberá ser verificado por una Autoridad de Certificación (CA). Dependiendo del tipo de certificado SSL/TLS que decida comprar, será necesario verificar su sitio para obtener información diferente.
Su elección de certificado depende en gran medida de sus requisitos y presupuesto. Repasemos las diferentes categorías para ayudarlo a encontrar la opción que mejor se adapte a sus necesidades:
Validación de Dominio (DV)
Este tipo de certificado requiere que demuestre que tiene derecho a usar un dominio específico. Esto lo convierte en la opción menos segura. Sin embargo, también es el tipo de certificado SSL/TLS más barato, e incluso podría adquirir uno gratis. También puede obtener una aprobación muy rápidamente, incluso en cuestión de minutos. Esto se recomienda para sitios más pequeños que no manejan datos confidenciales, como blogs o portafolios.
Validación de la organización (OV)
Esta es una opción más segura, que requiere una verificación más exhaustiva de su sitio web. La CA examinará su organización para garantizar que sea legítimo y confiable. Como tal, esto también es un poco más caro y tomará un poco más de tiempo adquirirlo. Sin embargo, este tipo de certificado se recomienda para sitios más grandes que manejan datos de usuarios y compras.
Validación Extendida (EV)
Esta es la opción más segura, pero también la más costosa y la que consume más tiempo. Adquirir una validación extendida requiere un proceso de investigación exhaustivo y, por lo general, es más costoso que la opción anterior. Esto también significa que toma más tiempo para ser aprobado. Este tipo de certificado está orientado a sitios muy grandes y de alto tráfico, como empresas de comercio electrónico y sitios gubernamentales oficiales.
Como señalamos anteriormente, el tipo de certificado SSL/TLS que necesita depende completamente del propósito y los requisitos de su sitio. Le recomendamos que lea más sobre los diferentes niveles de certificado para asegurarse de que está eligiendo la opción correcta.
Dónde obtener un certificado SSL/TLS para su sitio web
En este punto, sabe que necesita un certificado SSL/TLS. Además, tienes una idea del tipo de certificado que requiere tu sitio. Ahora, solo necesitas comprar uno.
Puede obtener un certificado SSL/TLS de una CA, como GlobalSign . Además, algunos proveedores de alojamiento los ofrecen como extras gratuitos o incluidos en sus planes de pago.
En DreamHost, los certificados SSL/TLS se pueden agregar fácilmente a su sitio desde su panel de control. Echemos un vistazo a las opciones disponibles:
SSL verificado por Sectigo
Este es un certificado DV (anteriormente conocido como Comodo) que cuesta $15 por año. Se asegurará de que su sitio aparezca en los navegadores como totalmente seguro. Esto lo convierte en la mejor opción para sitios comerciales o sitios que manejan datos confidenciales.
Cifremos SSL/TLS
Este es otro certificado DV gratuito, pero más seguro que la opción anterior. El certificado Let’s Encrypt es casi tan seguro como Sectigo . Como tal, es ideal para sitios más pequeños que no manejan muchos datos personales, como los blogs.
Si ya tienes una cuenta DreamHost, puedes adquirir uno de estos certificados navegando a Sitios web > Certificados seguros en tu panel de control . Aquí verá todos sus dominios y las opciones de SSL/TLS disponibles:
Haga clic en el botón Agregar junto a su nombre de dominio. Esto lo llevará a una pantalla en la que podrá elegir entre un certificado SSL gratuito de Let’s Encrypt o un certificado Sectigo DV de pago.
Cuando haya decidido qué opción es la mejor para su sitio, haga clic en Seleccionar este certificado :
Su sitio web DreamHost ahora estará protegido por SSL/TLS. Espere 15 minutos para que los cambios se envíen al servidor.
Sin embargo, es posible que se pregunte: ¿qué sucede si quiero usar un certificado SSL/TLS que ya compré en otro lugar? En la siguiente sección, le mostraremos cómo instalar un certificado que se compró a un tercero.
Cómo instalar un certificado SSL/TLS en su sitio web de WordPress (2 opciones)
Si compró un certificado SSL/TLS de una CA externa, deberá conectarlo a su sitio e instalarlo. El proceso puede variar según su sitio, su servidor web y el tipo de certificado que haya elegido.
Sin embargo, existen dos métodos básicos para instalar un certificado SSL/TLS: usar un complemento y el panel de control de su alojamiento. Echemos un vistazo más de cerca a cada método.
Opción 1: instalar el complemento SSL realmente simple
Una de las formas más fáciles de agregar un certificado SSL/TLS a su sitio es usar un complemento. Really Simple SSL es una herramienta que hace honor a su nombre:
La herramienta se puede descargar e instalar de forma gratuita, aunque hay disponible una versión premium. También es increíblemente fácil de usar, con un proceso de configuración simple y una interfaz fácil de usar.
El complemento realizará todo el proceso de instalación y activación por usted. Todo lo que necesita es un certificado SSL/TLS, y la herramienta maneja prácticamente todo lo demás.
Comience instalando y activando Really Simple SSL en su sitio de WordPress. Luego, aparecerá un mensaje en su tablero con información adicional sobre lo que debe hacer antes de activar SSL/TLS. Asegúrese de completar todos estos pasos antes de continuar:
Si su sitio ya tiene un certificado SSL/TLS conectado, verá la opción ¡Adelante, active SSL! Si hace clic en ese botón, el complemento instalará y activará su certificado.
Sin embargo, si no ha agregado SSL/TLS a través de su servidor web, verá un mensaje informándole de ese hecho. Tendrá que volver al tablero o panel de control de su host y seguir sus pautas específicas para agregar su certificado.
Una vez que haya hecho eso, puede volver a su panel de control de WordPress y activar su certificado SSL/TLS:
Durante el proceso de instalación, la herramienta lo mantendrá actualizado sobre el estado. Puede ver algunas tareas que aún puede necesitar para atender, así como actualizar el proceso en cualquier momento.
Opción 2: usa el panel de control de DreamHost
Ya te mostramos cómo DreamHost facilita la compra y activación de un certificado SSL/TLS desde tu panel de control. Puede utilizar un proceso similar para agregar un certificado de terceros.
Primero, deberá iniciar sesión en su cuenta y navegar a Sitios web > Certificados seguros. Luego, seleccione la pestaña Importar un certificado . En esta pantalla, podrá instalar un certificado SSL/TLS de terceros en su sitio:
Deberá agregar el certificado SSL/TLS , junto con su clave privada y la solicitud de firma del certificado. Si tiene un certificado intermedio, también deberá agregar esa información aquí. Es importante que todos provengan de la misma CA y se compraron simultáneamente, de lo contrario, no serán compatibles.
Además, querrá asegurarse de incluir todo cuando agregue esta información. Por ejemplo, cuando pegue su certificado, también debe incluir las líneas —– BEGIN CERTIFICATE —– y —– END CERTIFICATE —– al principio y al final respectivamente.
Cuando haya agregado todos los detalles necesarios, haga clic en Guardar cambios . Si el certificado SSL/TLS es válido y ha ingresado todo correctamente, ahora estará activo en su sitio.
Puede probar para asegurarse de que el proceso funcionó correctamente utilizando el método que le mostramos anteriormente. Simplemente acceda a su sitio en un navegador y asegúrese de que use https:// y tenga un candado verde al lado de la URL (si corresponde). Si es así, ¡ha agregado con éxito SSL/TLS a su sitio web de WordPress!
¿Existen riesgos al cambiar su sitio a HTTPS?
Los riesgos de cambiar su sitio de HTTP a HTTPS son mínimos y los beneficios superan con creces cualquier posible inconveniente. El único riesgo real es que su sitio no esté disponible temporalmente durante el proceso. Sin embargo, este suele ser un problema muy pequeño que se puede resolver rápidamente.
Dicho esto, hay algunas cosas que debe tener en cuenta al pasar de HTTP a HTTPS. La mejor manera de garantizar una transición segura y sin problemas es planificar con anticipación.
Antes de comenzar el proceso de migración, es importante asegurarse de que el certificado SSL que compró funcione. Puede hacerlo utilizando la herramienta de prueba de SSL Labs :
También querrá crear un plan detallado de migración y redirección. Se debe colocar una redirección 301 en cada URL HTTP que apunte a su equivalente HTTPS.
También hay un puñado de factores de optimización de motores de búsqueda (SEO) a considerar. Querrá asegurarse de que su mapa del sitio XML esté actualizado e incluya solo sus URL HTTPS. También es importante actualizar todos sus enlaces internos, así como cualquier enlace externo que apunte a su sitio sobre el que tenga control.
También recomendamos utilizar la ayuda de un desarrollador o experto en WordPress para ayudar en el proceso de migración. Una vez completada la migración, verifique que su versión HTTPS esté conectada a sus cuentas de Google Analytics y Search Console .
El futuro de la seguridad del sitio web
A medida que Internet continúa evolucionando, también lo hace la necesidad de seguridad en el sitio web. En el pasado, las actualizaciones de seguridad se publicaban según era necesario, normalmente en respuesta a una amenaza o vulnerabilidad específica que se había descubierto.
Sin embargo, el clima de seguridad de los sitios web de hoy es muy diferente. Con el aumento de los ataques sofisticados y la aparición de nuevas amenazas todos los días, los propietarios de sitios web ya no pueden darse el lujo de esperar hasta que algo salga mal para tomar medidas.
En cambio, deben ser proactivos con respecto a la seguridad del sitio web y estar siempre atentos a nuevas formas de proteger sus activos en línea. Esto significa mantenerse actualizado sobre las últimas tendencias de seguridad y estar atento a las nuevas actualizaciones que pueden ayudar a mejorar las defensas de su sitio web.
El futuro de la seguridad de los sitios web siempre está evolucionando, y mantenerse al día con las últimas tendencias y tecnologías puede ser un desafío. En los próximos años, esperamos ver una serie de importantes actualizaciones de seguridad que podrían tener un impacto significativo en la forma en que los propietarios de sitios web protegen sus sitios. Echemos un vistazo a algunas tendencias emergentes que creemos que desempeñarán un papel en el futuro de la seguridad de los sitios web.
Cambio predeterminado a HTTPS
Uno de los mayores cambios en la tienda para la seguridad del sitio web es el cambio a HTTPS de forma predeterminada. Este cambio ha estado en proceso durante varios años, pero finalmente está comenzando a convertirse en una realidad.
Google ha estado presionando por este cambio desde 2014, e incluso ha comenzado a dar preferencia a los sitios HTTPS en sus resultados de búsqueda. Por lo tanto, todos los sitios web deberían cambiar a HTTPS si quieren mantenerse a la vanguardia. No solo ayudará con el SEO, sino que también hará que su sitio sea más seguro para sus usuarios.
Nuevas funciones de seguridad de nombres de dominio
Para ayudar a protegerse contra el secuestro de nombres de dominio, la Corporación de Internet para la Asignación de Nombres y Números (ICANN) introdujo un nuevo conjunto de funciones de seguridad para todos los dominios registrados después del 1 de enero de 2018. Estas funciones incluyen bloqueo de dominio, que evita cambios no autorizados en los registros DNS, y Registrar Lock, que evita la transferencia no autorizada de un dominio a otro registrador.
Actualmente, estas medidas de seguridad no son obligatorias. Sin embargo, es probable que se vuelvan más populares porque podrían contribuir en gran medida a proteger su nombre de dominio para que no sea secuestrado.
Otro gran cambio que se avecina en 2022 es la introducción de las Extensiones de seguridad del sistema de nombres de dominio (DNSSEC) . Este nuevo protocolo de seguridad ayudará a proteger los servidores DNS para que no sean explotados y dificultará que los atacantes falsifiquen los registros DNS.
DNSSEC ya está siendo utilizado por algunas de las empresas más grandes del mundo, incluidas Google, Facebook y Netflix. Es solo cuestión de tiempo antes de que se convierta en un requisito para todos los sitios web.
Ataques más sofisticados
A medida que los piratas informáticos se vuelven más inteligentes, podemos esperar ver ataques más sofisticados. Esto podría incluir todo, desde ataques de phishing dirigidos hasta ataques de denegación de servicio distribuido (DDoS) a gran escala . Los propietarios de sitios web deben estar preparados para estas amenazas y contar con un plan de recuperación.
Mayor regulación
Con la introducción del Reglamento General de Protección de Datos (GDPR) y otras regulaciones de privacidad de datos, podemos esperar ver un mayor escrutinio sobre cómo los propietarios de sitios web recopilan y usan datos personales. Esto podría conducir a requisitos más estrictos para los sitios web, así como mayores sanciones para quienes no cumplan con las nuevas regulaciones.
Mayor conciencia de los riesgos de seguridad
A medida que la seguridad de los sitios web se convierte en una preocupación mayoritaria, podemos esperar ver a más personas tomando medidas para proteger su información en línea. Esto podría incluir todo, desde el uso de contraseñas seguras hasta la inversión en productos y servicios de seguridad de sitios web. Al mantenerse actualizado sobre las últimas tendencias de seguridad de sitios web, puede ayudar a mantener su sitio a salvo de ataques.
Asegure su sitio web de WordPress
Mantener su sitio web seguro es una consideración siempre presente, y es igualmente importante asegurarse de que sus usuarios sepan que pueden confiar en usted. Al agregar un certificado SSL/TLS a su sitio y forzar conexiones seguras a través de HTTPS, puede protegerse a sí mismo y a sus usuarios, mientras se asegura de que todos sepan que su sitio es seguro de usar.
Afortunadamente, hay varios tipos diferentes de certificados SSL/TLS disponibles. Encontrar un certificado que coincida con sus requisitos no debería ser difícil una vez que sepa lo que necesita. Incluso puede obtener uno a través de su proveedor de alojamiento web . Además, instalar un certificado SSL/TLS también es muy sencillo, gracias a WordPress y DreamHost .
En DreamHost, nuestros planes vienen con una variedad de funciones de seguridad administrada . ¡Échales un vistazo hoy para obtener más información sobre cómo DreamHost puede optimizar la seguridad de tu sitio!
