Object Storage Service:Access OSS over HTTPS

Paso 1: Configurar el hosting del certificado

Aloje un certificado SSL en OSS para habilitar el acceso cifrado mediante HTTPS en un nombre de dominio personalizado.

1. Vaya a la página Buckets. Haga clic en el bucket de destino. En el panel de navegación izquierdo, haga clic en Bucket Settings > Domain Names.

2. En la columna Actions del nombre de dominio personalizado de destino, haga clic en Certificate Hosting. Seleccione un certificado en la lista desplegable Certificate Name. Si no puede seleccionar el certificado deseado, vaya a la página SSL Certificate Management y asegúrese de que el certificado cumple las siguientes condiciones:

   • El certificado está emitido y es válido.

   • El certificado es válido para el nombre de dominio que está configurando.

3. Haga clic en Upload Certificate para finalizar la configuración del hosting del certificado.

   

Paso 2: Comprobar el acceso HTTPS

Una vez que el hosting del certificado surta efecto, compruebe la configuración al acceder a un recurso desde un navegador.

1. Vaya a la página Buckets y haga clic en el nombre del bucket de destino.

2. En la columna Actions del archivo de objeto al que desea acceder, haga clic en View Details.

3. Establezca Domain Name en Custom Domain Name. En la lista desplegable, seleccione el nombre de dominio personalizado asignado. A continuación, haga clic en Copy Object URL.

4. Acceda a la URL en un navegador para comprobar el acceso cifrado mediante HTTPS. La barra de direcciones del navegador debe mostrar un ícono de candado, lo cual indica que la conexión está cifrada.

   

Paso 1: Configurar el certificado HTTPS de CDN

Configure un certificado SSL para el nombre de dominio acelerado en la consola de CDN para habilitar la aceleración segura mediante HTTPS.

1. Vaya a la consola de CDN. Haga clic en el nombre de dominio acelerado de destino. Haga clic en HTTPS. Junto a HTTPS Certificate, haga clic en Modify.

2. Seleccione HTTPS Secure Acceleration. Lea el aviso de facturación y haga clic en OK.

3. En la lista desplegable Certificate Source, seleccione un certificado SSL o introduzca la información del certificado de terceros.

   • SSL Certificates Service: En la lista desplegable Certificate Name, seleccione un certificado. Si no puede seleccionar el certificado de destino, vaya a la página SSL Certificate Management y asegúrese de que el certificado cumple las siguientes condiciones:

     • El certificado se emitió y se encuentra dentro de su periodo de validez.

     • El certificado es válido para el nombre de dominio que está configurando.

   • Custom Certificate (Certificate + Private Key): Introduzca Certificate Name, Certificate (Public Key) y Private Key.

4. Haga clic en OK para completar la configuración del certificado HTTPS.

   

Paso 2: Comprobar el acceso HTTPS de CDN

El despliegue de la configuración HTTPS tarda aproximadamente un minuto. Compruébelo al acceder a un recurso de OSS mediante HTTPS (por ejemplo, https://example.com/dest.jpg, donde example.com es su nombre de dominio acelerado). Un ícono de candado en la barra de direcciones del navegador confirma que la transmisión está cifrada.

Prácticas recomendadas

• Forzar el acceso HTTPS: Configurar una política de control de acceso

  Obligue a todos los clientes a usar HTTPS para evitar la interceptación de datos y cumplir con los requisitos normativos.

  • Para nombres de dominio personalizados, rechace todas las solicitudes HTTP mediante la configuración de una bucket policy.

    Ejemplo de configuración

    Vaya a la página Buckets. Haga clic en el bucket de destino. En el panel de navegación izquierdo, haga clic en Access Control > Bucket Policy. Seleccione Add by Syntax para agregar la siguiente política de bucket.

    Al agregar la política, reemplace bucketname en la configuración de ejemplo con el nombre de su bucket.

    {
    	"Version": "1",
    	"Statement": [{
    		"Effect": "Deny",
    		"Action": [
    			"oss:*"
    		],
    		"Principal": [
    			"*"
    		],
    		"Resource": [
    			"acs:oss:*:*:bucketname",
    			"acs:oss:*:*:bucketname/*"
    		],
    		"Condition": {
    			"Bool": {
    				"acs:SecureTransport": [
    					"false"
    				]
    			}
    		}
    	}]
    }

    Después de configurar la política de bucket, se rechazan todas las solicitudes HTTP.

    

  • Para nombres de dominio acelerados por CDN, configure una force redirect o enable HTTP Strict Transport Security (HSTS) para obligar a los clientes a usar HTTPS y aumentar el nivel general de seguridad.

    Ejemplo de configuración

    • Configurar una redirección forzada

      Vaya a la página de la consola de CDN. Haga clic en el nombre de dominio acelerado de destino. Haga clic en HTTPS y, a continuación, junto a HTTP/S Redirect, haga clic en Modify. Configure la redirección como se muestra en la siguiente figura. Una vez completada la configuración, CDN utiliza una redirección 301 para convertir en HTTPS las solicitudes HTTP que los clientes envían a los nodos de CDN.

      

    • Habilitar HSTS

      Vaya a la página de la consola de CDN. Haga clic en el nombre de dominio acelerado de destino. Haga clic en HTTPS y, a continuación, junto a HSTS, haga clic en Modify. Habilite HSTS como se muestra en la siguiente figura. Una vez completada la configuración, las solicitudes HTTP de los clientes se convierten automáticamente en solicitudes HTTPS.

      

• Renovación automática: Gestionar el ciclo de vida del certificado

  Los certificados SSL tienen un periodo de validez fijo; un certificado caducado provoca interrupciones del servicio. Supervise la fecha de caducidad y renuévelo como mínimo 30 días antes. Para los certificados de Alibaba Cloud, utilice enable certificate hosting para automatizar las renovaciones. Para los certificados de terceros, establezca un proceso de actualización periódico.

• Optimización del rendimiento: Habilitar HTTP/2 y compresión

  HTTP/2 ofrece multiplexación, compresión de encabezados y envío desde el servidor (server push), lo que mejora la velocidad de carga de las páginas respecto a HTTP/1.1. Habilite HTTP/2 protocol y Gzip compression en su configuración de CDN para reducir el ancho de banda y mejorar el rendimiento.

Mitigación de riesgos

• Contingencia ante fallos de certificados: Establecer un mecanismo de copia de seguridad de certificados

  Prepare un certificado SSL de respaldo emitido por una CA distinta para los sistemas críticos. Si el certificado principal falla, cambie al de respaldo para minimizar el tiempo de inactividad.

• Política de degradación de acceso: Volver a HTTP en emergencias

  Mantenga un plan de emergencia para volver temporalmente a HTTP si ocurre un problema grave con el certificado. Documente el procedimiento, refuerce el monitoreo y restablezca HTTPS lo antes posible.

Contexto

A principios de 2023, Mozilla implementó una política para dejar de confiar en los certificados raíz con más de 15 años de antigüedad destinados a la autenticación de servidores. Bajo esta política, GlobalSign Root R1 dejó de ser válido el 15 de abril de 2025. Consulte la política de ciclo de vida de CA raíz de Mozilla y el aviso de actualización de certificados raíz de GlobalSign.

Estrategia de respuesta de OSS

Alibaba Cloud OSS adoptó las siguientes estrategias para garantizar una transición sin problemas.

• Plan de actualización de certificados

  A partir del 1 de julio de 2024, los nuevos certificados emitidos por OSS utilizan GlobalSign Root R3. Esto garantiza la compatibilidad con los estándares de seguridad más recientes y evita interrupciones de acceso provocadas por cambios en la política de confianza de certificados raíz.

• Solución de compatibilidad entre certificados

  Los certificados actuales de OSS usan certificados cruzados para migrar de GlobalSign Root R1 a R3. El certificado cruzado basado en R1 caduca el 28 de enero de 2028. Dado que las solicitudes de certificado deben enviarse 13 meses antes de la caducidad, complete todos los preparativos de actualización del certificado raíz antes del 28 de diciembre de 2026.

• Planes futuros y recomendaciones

  Mozilla dejará de confiar en GlobalSign Root R3 el 15 de abril de 2027, y este certificado caduca el 18 de marzo de 2029. Asegúrese de que su lista de certificados raíz incluya GlobalSign R1, R3, R6 y R46 para adaptarse a futuras rotaciones.

Acciones requeridas

Para la mayoría de los usuarios, no se requiere ninguna acción. Los sistemas operativos modernos (Windows 7+, macOS 10.12.1+ y las principales distribuciones de Linux de los últimos 5 años) y los navegadores (Chrome, Firefox, Safari) actualizan automáticamente los almacenes de certificados raíz.

Siga los pasos a continuación únicamente si encuentra errores de certificado al acceder a OSS mediante HTTPS en sistemas operativos heredados, dispositivos integrados o clientes personalizados obsoletos.

ls /etc/ssl/certs/ | grep GlobalSign

¿Cómo actualizo un certificado que fue reemplazado o que caducó?

El procedimiento de actualización es el mismo que el de la configuración inicial. Elija la ruta de actualización correspondiente a su tipo de nombre de dominio.

• Nombre de dominio personalizado de OSS: Vaya a la página Buckets y, en la sección Certificate Hosting de la administración de dominios del bucket de destino, seleccione el nuevo certificado.

• Nombre de dominio acelerado por CDN: Vaya a la consola de CDN. En la configuración HTTPS del nombre de dominio acelerado de destino, seleccione o cargue el nuevo certificado.

Después de configurar un certificado SSL, ¿por qué mi navegador sigue mostrando un mensaje de "no seguro" o "error de certificado"?

Si persiste una advertencia de seguridad después de la configuración, solucione el problema de la siguiente manera:

• Compruebe la ubicación de la configuración: Si la aceleración de CDN está habilitada, configure HTTPS en la consola de CDN; la configuración de hosting de certificados de OSS no aplica a los dominios acelerados por CDN.

• Borre la caché del navegador: Es posible que el navegador haya almacenado en la caché el estado anterior del certificado. Borre la caché e inténtelo de nuevo.

• Espere a que la configuración surta efecto: Las configuraciones de certificados pueden tardar unos minutos en desplegarse.

• Compruebe la integridad de la cadena de certificados: Los certificados emitidos por CA intermedias contienen varios certificados. Concatene el certificado del servidor con el certificado intermedio para formar una cadena completa antes de cargarlos.

¿Cómo manejo las excepciones de certificado al acceder a OSS mediante HTTPS?

Resuelva el problema según el tipo de excepción:

• Certificado no configurado: El navegador muestra "Tu conexión no es privada", con el mensaje de error: NET::ERR_SSL_PROTOCOL_ERROR. Este error puede indicar que falta el certificado o que se configuró en la ubicación incorrecta (por ejemplo, usar el hosting de certificados en OSS cuando la aceleración de CDN está habilitada). Vuelva a configurar HTTPS con el método correcto.

• Certificado caducado: El navegador muestra "Tu conexión no es privada", con el mensaje de error: NET::ERR_CERT_DATE_INVALID. El certificado vinculado al dominio caducó. Consulte la fecha de caducidad en el navegador. Compre o solicite un certificado nuevo y, luego, actualícelo siguiendo el procedimiento de configuración.

• Certificado no coincidente: El navegador muestra "Tu conexión no es privada", con el mensaje de error: NET::ERR_CERT_COMMON_NAME_INVALID. El dominio de la URL de acceso no está incluido en los dominios del certificado. Por ejemplo, el dominio de acceso es cdn.example.com, pero el certificado está vinculado a oss.example.com. Configure el certificado correcto para el dominio de acceso.

¿Por qué no encuentro mi certificado de destino en la lista desplegable al seleccionar un certificado?

Es posible que el certificado no aparezca en la lista desplegable por las siguientes razones:

• El certificado y el nombre de dominio no coinciden: El sistema solo muestra los certificados que coinciden con el dominio que está configurando. Por ejemplo, al configurar un certificado para oss.example.com, no puede seleccionar un certificado emitido para cdn.example.com.

• El certificado no pertenece a la cuenta actual: Confirme si el certificado pertenece a la cuenta actual de Alibaba Cloud. De lo contrario, deberá cargar el certificado en la página SSL Certificate Management.

• El nivel del certificado comodín no coincide: Un certificado comodín solo admite subdominios del mismo nivel. Por ejemplo, *.example.com puede coincidir con www.example.com y oss.example.com, pero no con cdn.oss.example.com.

Cuando configuro un certificado HTTPS en CDN, aparece un mensaje que indica que el formato del certificado es incorrecto. ¿Cómo convierto el formato?

La configuración HTTPS de CDN solo admite certificados en formato PEM. Cada CA tiene requisitos distintos para cargar el contenido de los certificados. Si el certificado no está en formato PEM, consulte Certificate format. Siga las instrucciones del documento para convertir el formato antes de cargarlo.

¿Cómo actualizo un certificado mediante la línea de comandos o una API?

• Nombre de dominio acelerado por CDN: Use Alibaba Cloud CLI para establecer el certificado del dominio de CDN. Consulte Cloud Assistant CLI integration example y SetDomainServerCertificate API.

• Nombre de dominio personalizado de OSS: Use ossutil para vincular un certificado a un nombre de dominio personalizado. Consulte put-cname command. Actualizar el certificado no afecta el registro CNAME existente ni su vinculación con el bucket. No es necesario volver a crear el registro CNAME ni el bucket.

¿Cómo deshabilito el acceso HTTPS?

• Nombre de dominio personalizado

  Elimine el certificado para deshabilitar HTTPS:

  1. Vaya a la página Buckets. Haga clic en el bucket de destino. En el panel de navegación izquierdo, haga clic en Bucket Settings > Domain Names.

  2. Haga clic en el ícono de eliminación junto a Certificate Details del nombre de dominio de destino y, a continuación, haga clic en OK.

     

• Nombre de dominio acelerado por CDN

  Deshabilite HTTPS en la consola de CDN:

  Importante

  Para evitar interrupciones de acceso, restaure primero el tipo URL Redirection a su valor predeterminado y deshabilite la función HSTS antes de deshabilitar HTTPS.

  1. Vaya a la consola de CDN, haga clic en el nombre de dominio acelerado de destino, haga clic en HTTPS y, a continuación, haga clic en Modify junto a HTTPS Certificate.

  2. Deshabilite HTTPS Secure Acceleration como se muestra en la siguiente figura y, a continuación, haga clic en OK.

     

¿Cómo soluciono un error de carga a través de un nombre de dominio personalizado en la consola de OSS?

Cuando carga un objeto en la consola de OSS, el panel de carga ofrece dos opciones de Domain Name: el nombre de dominio del bucket y un nombre de dominio personalizado. El nombre de dominio del bucket se selecciona de forma predeterminada. Esta elección solo determina el endpoint que se usa para la carga. El objeto resultante en el bucket es idéntico en ambos casos.

• Nombre de dominio del bucket: Alibaba Cloud gestiona el certificado SSL de este nombre de dominio. El nombre de dominio admite HTTPS de forma nativa, por lo que las cargas se completan correctamente sin configuración adicional. Para obtener más información, consulte How it works.

• Nombre de dominio personalizado: Cuando cambia a un nombre de dominio personalizado, la consola muestra una advertencia que le pide confirmar que el registro CNAME y el certificado del nombre de dominio personalizado asignado estén configurados correctamente. De lo contrario, el acceso podría fallar. Esta advertencia señala la causa principal de los errores de carga: un nombre de dominio personalizado requiere configuración de su parte.

Si falla una carga a través de un nombre de dominio personalizado, solucione el problema de la siguiente manera:

• Confirme que el nombre de dominio personalizado esté asignado al bucket actual y que su registro CNAME resuelva al endpoint del bucket. Para obtener más información, consulte Access OSS through a custom domain name.

• Confirme que haya configurado un certificado SSL válido que coincida con el nombre de dominio personalizado.

  Si la aceleración de CDN no está habilitada, configure el hosting del certificado en la consola de OSS: Vaya a la página Buckets y haga clic en el bucket de destino. En el panel de navegación izquierdo, haga clic en Bucket Settings > Domain Names. Luego, haga clic en Certificate Hosting en la columna Actions del nombre de dominio personalizado de destino y seleccione un certificado en la lista desplegable Certificate Name.

  Si la aceleración de CDN está habilitada, configure el certificado en la consola de CDN. El hosting de certificados en OSS no aplica a los nombres de dominio acelerados por CDN. Para obtener más información, consulte Enable HTTPS access by configuring certificate hosting in OSS y Enable HTTPS access by configuring an HTTPS certificate in CDN.

• Si persisten los errores relacionados con el certificado, consulte los apartados sobre excepciones de certificado en esta sección de preguntas frecuentes.

• Para restaurar las cargas de inmediato, vuelva a cambiar el panel de carga al nombre de dominio predeterminado del bucket. El objeto cargado es idéntico sin importar el nombre de dominio que utilice.