Guía para principiantes de certificados SSL para sitios web

Al crear una aplicación web que trata con datos personales, la seguridad es la primera prioridad. Esto es cierto, no solo con las tiendas en línea y los carritos de compras, sino también con las redes sociales populares como Twitter y Foursquare. SSL es un protocolo seguro como HTTP, ya que puede recibir y transferir datos a través de Internet..

Todo el concepto es un poco complicado pero no tan difícil de entender. Si usted es un webmaster o alguien que está interesado en aprender sobre certificados SSL, esta guía debería ser perfecta para usted. He reunido este conjunto de los términos más confusos para los principiantes. Dedique un tiempo a navegar aquí, así como a leer otros artículos externos sobre el tema. La seguridad es vital para el éxito de cualquier sitio web y SSL es simplemente un trampolín en el panorama general.

Que es SSL?

Protocolo SSL significa Capas de sockets seguros y fue desarrollado originalmente por Netscape. Es un proceso en el que los datos transmitidos entre el usuario y el servidor se cifran / descifran para que ningún tercero externo pueda secuestrar la conexión.

SSL se comporta como un pasaporte digital que verifica las credenciales de usted y del servidor web final. Cuando se verifican ambas identidades, SSL otorga una conexión segura a través de HTTPS. Este proceso se realiza utilizando certificados. He desglosado aspectos clave de un certificado SSL, que incluye:

• El nombre del dueño
• Número de serie del certificado utilizado para la identificación.
• La fecha de vencimiento del certificado.
• La clave pública del certificado utilizada para cifrar la información.
• La clave privada del certificado utilizada para descifrar la información (generalmente proviene de un servidor web)

No necesita comprender completamente el uso de toda esta información. En algunos casos, recibirá un certificado con más información. Sin embargo, nada de esto afectará directamente al usuario; Afecta solo la conexión entre el servidor y la computadora remota..

Configuración de un certificado

Lo más probable es que puedas descubrir la esencia de cómo funciona SSL. Es una forma más compleja de pasar datos, como transferir un mensaje dentro de una caja fuerte cerrada. No es necesario memorizar elementos clave de un certificado SSL o saber cómo se conecta con un servidor web, pero es bueno comprender al menos los conceptos básicos del proceso antes de configurar su propio.

Los certificados SSL realmente se compran a través de una serie de proveedores confiables en la Web. Cada certificado tiene una fecha de vencimiento, lo que significa que tendrá que renovarlo para mantener su sitio web seguro (generalmente esto es todos los años). Parece un verdadero problema, pero afortunadamente muchos servidores web populares como FatCow lo ayudarán en el proceso de configuración..

Primero debe generar una solicitud de firma de certificado o CSR en su propio servidor web. El CSR es necesario antes de poder obtener un certificado SSL. Es posible crearlo usted mismo si tiene privilegios administrativos completos en el servidor web. Sin embargo, es altamente recomendable que se comunique primero con su proveedor de alojamiento web, ya que es probable que no le permitan hacerlo solo. No hay daño en eso, de hecho, hace que su trabajo sea mucho más fácil!

Una vez que tenga esta CSR cifrada, puede ponerse en contacto con un proveedor de certificados. Hay solo un puñado de proveedores de confianza como Verisign o Thawte. Una vez que haya comprado el certificado, póngase en contacto con el soporte de su proveedor de alojamiento web y lo instalarán con gusto..

Diferentes tipos de SSL

La forma más común de configurar un certificado SSL es en su propia dirección IP principal. Esto se conoce como Certificado SSL dedicado. Sólo se aplicará a su dominio y servidor web. No todos tienen dinero suficiente para comprar un plan de hosting dedicado, pero afortunadamente para nosotros, hay otras soluciones disponibles..

En general, hay tres tipos diferentes de certificados SSL que puede utilizar. Algunos proveedores de servicios pueden ofrecer un certificado gratuito como una oferta de prueba por tiempo limitado, pero estos certificados no son de ninguna manera más seguros que una conexión HTTP estándar y caducan rápidamente.

• SSL dedicado - Esta es la solución más segura y evidentemente la más cara. Una conexión HTTPS solo se verifica para su dominio raíz segmentado a través de una dirección IP designada.
• SSL compartido - Los servidores web que ofrecen alojamiento compartido a veces tendrán múltiples nombres de dominio que apuntan a la misma dirección IP. En este caso, es mucho más fácil para el host administrar un único SSL en cada servidor que abarca una variedad de sitios web diferentes.
• SSL comodín - Estos pueden ser similares a un certificado SSL dedicado o compartido basado en la configuración del servidor. Los certificados SSL de comodín apuntarán a múltiples subdominios para su sitio web. Esta es una solución viable si divide diferentes funciones de su sitio web, por ejemplo. shop.domain.com, checkout.domain.com, etc..

Si recién está comenzando, le recomiendo usar una configuración SSL compartida. Es poco probable que pueda pagar un host web / dirección IP dedicado de inmediato. E incluso si puede, los costos de un certificado SSL dedicado son atroces. Pero es absolutamente algo que deberías mirar si es posible.

Sin embargo, dado que esta guía está dirigida a principiantes, creo que un certificado compartido es más que suficiente para comenzar.

Tutorial paso a paso

La mejor manera de sentirse cómodo con los certificados SSL es a través del ejemplo de trabajo. Vamos a armar un pequeño certificado de Comodo de Namecheap. Tienen precios muy razonables, lo que es perfecto para que comiencen los principiantes. Y como solo tenemos que pasar por el proceso y los esquemas, este será el material perfecto para este tutorial..

Generar un CSR

Ahora para comenzar, necesitamos crear la solicitud de firma en el servidor de nuestro servidor. Estoy usando una cuenta de hosting empresarial a través de HostGator para probar uno de mis dominios. Cada host web es un poco diferente, por lo que tendrá que consultar con el personal de soporte si tiene problemas. Esta URL se utiliza para una generación de CSR en cuentas de HostGator.

Tenga en cuenta que gran parte de esta información debe coincidir con los datos web de Whois de mi dominio. Utilizo la aplicación Whois Domain Tools que proporciona toda la información que requiere este formulario. Si tiene instalada la privacidad del dominio, debe usar estos datos en lugar de los suyos para que la CSR coincida..

Este proceso puede tardar hasta 24 horas para completar el registro. Recibí mi respuesta en 15 minutos. Avancemos y compre nuestro certificado ahora para que lo tengamos listo para instalar con la solicitud de firma.

Vamos a comprar!

Los planes de Comodo van desde $ 9 / año hasta casi $ 100. Estoy viendo el paquete EssentialSSL que solo cuesta $ 25 por año. Esto no es un mal negocio considerando algunas de las alternativas.

Este plan viene con una política de devolución de 15 días si no estamos satisfechos con el certificado. Además, nuestro nombre de dominio estará protegido para el subdominio www y no www. Después de agregar este paquete a mi carrito de compras podemos retirarlo. Namecheap requerirá que inicie sesión en una cuenta existente o que me registre para obtener una nueva.

Después de ingresar todos los datos de mi cuenta, aparecerá la pantalla de pago final. Tenemos la opción de pagar con fondos almacenados en mi cuenta, tarjeta de crédito o PayPal. Si todo se realiza correctamente, se nos redirige a un formulario de confirmación de pedido (además, debería recibir un correo electrónico con esta información). Todo se ve bien hasta ahora!

Instalación final

El CSR debe aparecer en un correo electrónico de su proveedor de alojamiento web. La clave es más como un bloque de caracteres y claves desordenadas. Esto es lo que necesitamos para proporcionar la verificación SSL. Volviendo a Namecheap, encontremos la página del certificado SSL y hagamos clic en “Activar”.

En esta nueva página, debemos seleccionar un tipo de servidor e ingresar la clave CSR. He elegido Apache + OpenSSL como la selección por defecto. Esta es una configuración común para Apache, pero si no está seguro, simplemente consulte con su anfitrión de antemano. Tenga en cuenta que su proveedor de alojamiento web debería haber devuelto un largo Clave RSA que se utiliza para la autenticación privada en el extremo del servidor. Todo lo que tenemos que hacer es copiar y pegar la clave de CSR más corta en el cuadro y enviar.

Luego generamos un correo electrónico enviado al “aprobador” del nombre de dominio. Esto contendrá cierta información sobre su certificado SSL y cómo activarlo en el host. Este último formulario de envío requerirá nuestra clave secreta RSA, así como también información adicional sobre el paquete SSL. Todo esto es suministrado por Namecheap después de que pasamos en la CSR.

Vale la pena señalar que en algunos servidores web es posible que no pueda utilizar SSL en un entorno compartido. HostGator permite que las empresas actualicen sus cuentas a una dirección IP principal para que no haya ningún error en conflicto con el certificado. El formulario de instalación SSL de HostGator es sencillo y también se valida muy rápidamente.

Después de que su anfitrión confirme que todo está bien, entonces deberíamos estar listos. Comprenda que esto podría tomar entre un par de horas y un día o más. Sé paciente y sigue revisando tu correo electrónico. Una vez verificado, intente acceder a su sitio web a través de HTTPS y todos los detalles del certificado deben estar en la barra de direcciones. Siempre es una lucha cuando recién comienza, pero no tenga miedo de pedir ayuda a su proveedor de SSL o al servidor web si es necesario..

Gestionando una conexión segura

He encontrado que este artículo de soporte de Hostgator es de gran ayuda para entender el proceso de configuración. Incluso si no es cliente de HostGator, lo más probable es que use cPanel para administrar cualquier servidor web remoto. Esto es cierto para 1 & 1 Hosting, Bluehost, etc..

¡Pero la mejor parte sobre el uso de una configuración SSL en un servidor web de terceros es que no necesita realizar cambios (o en la mayoría de los minutos) en su código! Después de comprar un certificado, la mayoría de los servidores web serán lo suficientemente corteses como para instalarlos por usted. Después de que todo esté funcionando sin problemas, todas las conexiones a través de HTTP y HTTPS deberían funcionar de manera idéntica.

Puede probar si el certificado está autenticado verificando la barra de direcciones URL en su navegador web. Debería notar un pequeño icono de candado que denota una conexión SSL verificada entre su computadora y el servidor web remoto. Algunos navegadores incluso mostrarán más información de certificado si hace clic en el icono de bloqueo.

Apache .htaccess redirecciones

Si tiene problemas para mantener a los visitantes en el protocolo HTTPS, puede considerar usar un script de redirección. Esto se suele configurar en servidores Apache usando un archivo .htaccess, que muchos servidores web te permiten configurar directamente dentro de cPanel.

He añadido algunos códigos de muestra a continuación que puede usar para configurar su propio archivo .htaccess. Esto redireccionará todo el tráfico entrante a https: // con un subdominio www. Podría eliminar el www, por lo que todo el tráfico se dirigirá a https://yourdominio.com/ y las reglas de reescritura seguirían funcionando perfectamente.

RewriteEngine On RewriteCond% HTTPS = off RewriteRule ^ (. *) $ Https://www.yourdomain.com/$1 [R = 301, L] RewriteCond% http_host ^ yourdomain.com [NC] RewriteRule ^ (. *) $ https://www.yourdomain.com/$1 [R = 301, L] 

Archivos de referencia

El problema más molesto con el que se encontrará es hacer referencia a las URL absolutas en lugar de a las rutas de archivo relativas. Esta voluntad no mostrar una conexión completamente segura, haciendo referencia, en cambio, a la advertencia de que hay “artículos no asegurados” se muestra en la página. Si llama a cualquier tipo de medio externo: video, imagen, hoja de estilo, debe hacerse localmente. He demostrado un ejemplo a continuación:

Con el primer bit de código estás cargando un documento potencialmente inseguro en una página segura. Este es el método por el cual los hackers inteligentes pueden omitir su cifrado. La mayoría de los casos que he encontrado a través de JavaScript o VBScript. Pero para estar seguro, solo asegúrate de que ninguno de tus activos se extraiga directamente mediante HTTP.

Si, por cualquier motivo, debe extraer un archivo a través de la URL absoluta, utilice en su lugar HTTPS. Si tiene archivos alojados en un sitio web o servidor externo, esto puede producir problemas ya que no puede verificar otra conexión HTTPS. Trabaje para mantener todos los medios de la página web consolidados bajo una IP para que no tenga ningún problema en absoluto!

enlaces relacionados

• Explique como tengo 5: ¿Qué son los certificados de seguridad en línea, SSL, HTTPS y cómo funcionan??
• La evolución de la autenticidad SSL [Infografía]
• Generación e instalación de certificados SSL paso a paso

Conclusión

Espero que esta guía introductoria le haya dado un poco de información sobre el mundo de SSL. La seguridad web es una industria en auge que asegura una gran cantidad de datos de usuarios privados. Todas las famosas tiendas en línea, incluyendo Amazon y eBay, han estado usando SSL por años.

Admito que SSL / HTTPS no es un tema que pueda estudiar para comprender. Al igual que en la programación, realmente necesitas sumergirte y ensuciarte las manos configurando tu propio certificado. Es una tarea desalentadora para comenzar, pero ofrece un maravilloso sentido de logro a largo plazo. Si conoce otras guías útiles o material relacionado, no dude en compartirlas en el área de discusión posterior..