HTTP seguro (HTTPS)

Cuando navegamos por la web, ¿quién puede ver lo que leemos? ¿Quién puede ver el texto que escribimos en formularios?

Con el estándar HTTP, mucha gente podría: atacantes que interceptan paquetes, ISPs que monitorean el tráfico y agencias gubernamentales que se conectan con los cables de fibra que constituyen la columna vertebral de Internet. Usando mecanismos conocidos, pueden leer los contenidos de cada sitio web e incluso inyectar sus propios contenidos.

Por eso los sitios web usan cada vez más HTTPS (Hypertext Transfer Protocol Secure) para proteger la privacidad de sus usuarios y prevenir su manipulación. HTTPS también es conocido como HTTP sobre TLS, porque se implementa mediante el cifrado de solicitudes y respuestas HTTP con el protocolo TLS.

Una conexión HTTPS comienza con su URL en la barra de direcciones. Las conexiones HTTP estándar tienen URLs que comienzan con "http://". Las conexiones seguras de HTTP tienen URLs que comienzan con "https://".

⬆ Dale un vistazo a la barra de direcciones ahora. Deberías ver una URL que comienza con "https://www.khanacademy. Si comienza con "khanacademy.org/", intenta hacer doble clic en la barra de direcciones para ver la URL completa.

Por supuesto, la mayoría de los usuarios simplemente escriben el dominio, como "khanacademy.org". Los usuarios experimentados pueden incluso escribir una URL como "http://khanacademy.org". Cuando un sitio web provee HTTPS y quiere asegurarse de que todos sus usuarios tengan una conexión segura, debería redirigir todas las solicitudes a la versión HTTPS de su sitio.

🔍 Ensaya a escribir algunas URLs de tus sitios favoritos en una nueva pestaña e inspecciona la URL final en la barra de direcciones una vez que se cargue el sitio web. ¿Alguno de ellos redirigió a HTTPS? ¿Alguno que usa HTTP desearías que realmente usara HTTPS?

Cuando el navegador carga una URL que comienza con "https", inicia el proceso de establecer una conexión segura a través de TLS. (¿Necesitas repasaar lo que sabes del proceso? Revisa nuestro artículo TLS.)

Al principio de ese proceso, el navegador debe verificar el certificado digital del dominio. Hay muchas maneras en que un certificado puede ser inválido, y los navegadores a menudo mostrarán errores de certificación.

Así se ve cuando Chrome descubre que un certificado fue emitido por una autoridad de certificación en la que no confía:

Si el certificado es válido y todo lo demás funciona sin problemas en la configuración de TLS, la mayoría de los navegadores mostrarán un candado en la barra de direcciones. Este candado indica una conexión segura a través de HTTPS.

Aquí está el icono de candado en Firefox:

Hacer clic en ese icono del candado te da más información sobre la seguridad del sitio:

Una conexión HTTPS asegura que sólo el navegador y el dominio seguro vean los datos en solicitudes y respuestas HTTP. Los fisgones todavía pueden ver que una dirección IP en particular se comunica con otro dominio/IP y pueden ver cuánto dura esa conexión. Pero esos observadores no pueden ver el contenido de la comunicación, que incluye la ruta completa de la URL, el HTML de la página web y cualquier texto enviado en formas. Ahora mismo, un observador puede saber que estás visitando khanacademy.org, pero no saben que estás leyendo un artículo sobre HTTPS.

HTTPS también previene la manipulación del contenido del sitio web. Cuando un sitio web está asegurado a través de una conexión estándar HTTP, los paquetes pueden ser interceptados y su contenido reemplazado. Si un atacante o incluso una agencia gubernamental intercepta visitas a un sitio de noticias, pueden servir fácilmente noticias falsas. TLS incluye un mecanismo para detectar alteraciones de paquetes, por lo que las conexiones HTTPS son resistentes a la manipulación.

Muchas organizaciones creen que cada sitio web debería servir todas sus conexiones a través de HTTPS, debido a los enormes beneficios. A partir de febrero de 2019, aproximadamente la mitad del millón de sitios web más visitados utiliza HTTPS por defecto. ¿Llegará esto alguna vez al 100%? Puedes ayudarnos a llegar hasta allí pidiendo a tus sitios web favoritos que usen HTTPS o conviertiendote en un desarrollador web con conocimientos de seguridad.

🙋🏽🙋🏻‍♀️🙋🏿‍♂️¿TIenes alguna pregunta sobre este tema? ¡Nos encantaría responderte; tan solo pregunta en el área de preguntas más abajo!