Un certificado SSL (actualmente estandarizado como TLS) es un certificado digital que verifica la identidad de un sitio web y cifra la comunicación entre el navegador y el servidor. Lo emiten autoridades de certificación (CA) de confianza, habilita el protocolo HTTPS y garantiza la transmisión segura de los datos.
Valor principal
Los certificados SSL/TLS resuelven las siguientes necesidades de seguridad:
Cifrado de datos: cifra la información entre los clientes (navegadores) y los servidores web para evitar interceptaciones o alteraciones.
Verificación de identidad: comprueba la legitimidad del servidor e impide el acceso a sitios web falsos o de phishing.
Confianza del navegador: elimina las advertencias de "No seguro" y muestra un ícono de candado en la barra de direcciones. Los navegadores más populares muestran un candado unificado en lugar de la antigua barra verde. Haga clic en el candado para consultar los detalles del certificado.
Cumplimiento normativo: cumple con las regulaciones de seguridad de red y protección de datos, como Equal Protection 2.0 y PCI DSS.
SEO: los motores de búsqueda priorizan los sitios web HTTPS, lo que mejora su posicionamiento.
Cómo funciona
El protocolo SSL/TLS utiliza un mecanismo de cifrado híbrido: cifrado asimétrico para verificar la identidad y cifrado simétrico para transmitir los datos.
Emisión y validación del certificado (construcción de la cadena de confianza)
Generación de la solicitud: el servidor genera una key pair (RSA de 2048 bits o ECC de 256 bits). Después, encapsula la clave pública y la información de la organización en una solicitud de firma de certificado (CSR).
Firma de la CA: tras comprobar la propiedad del dominio, la CA extrae la clave pública y los datos del solicitante del CSR. Luego combina esta información con los datos del emisor y el periodo de validez, y firma todo con su clave privada para generar un certificado compatible con X.509.
Cadena de confianza: los navegadores verifican las firmas del certificado del servidor mediante los certificados raíz preinstalados. Así se establece una cadena de confianza.
Establecimiento de la sesión cifrada (handshake TLS)
Inicio del handshake: el cliente envía un mensaje
ClientHellocon las versiones de protocolo y los conjuntos de cifrado compatibles.Entrega del certificado: el servidor responde con un mensaje
ServerHelloy envía la cadena de certificados.Verificación de identidad: el cliente comprueba el periodo de validez del certificado y la coincidencia del dominio. También revisa el estado de revocación mediante CRL u OCSP. Algunos despliegues utilizan OCSP Stapling para optimizar este paso.
-
Intercambio de claves: ambas partes generan una clave de sesión mediante un mecanismo de intercambio de claves.
Modo ECDHE (recomendado): ambas partes generan key pairs temporales, intercambian las claves públicas y derivan la clave de sesión de forma independiente.
Modo RSA (tradicional): el cliente genera un secreto pre-maestro, lo cifra con la clave pública del servidor y lo envía. A continuación, ambas partes derivan la clave de sesión.
Comunicación simétrica: después del handshake, todos los datos se cifran con la clave de sesión.
La clave pública del certificado (RSA, ECC o SM2) verifica la identidad del servidor y protege el intercambio de claves. La transmisión de datos utiliza una clave simétrica negociada (como AES) para mejorar el rendimiento. What are public and private keys.
Flujo de uso
Compra del certificado
Los certificados SSL se adquieren por separado de los nombres de dominio. Alibaba Cloud no incluye certificados en la compra de dominios.
Alibaba Cloud ofrece certificados SSL de prueba personales gratuitos: hasta 20 al año, cada uno con una vigencia de 3 meses. Son adecuados para sitios web personales o entornos de prueba. Para producción, adquiera un certificado comercial.
En la consola de Digital Certificate Management Service, utilice la pestaña Free Certificate para solicitar y gestionar certificados.
Detalles sobre los certificados de prueba personales gratuitos: Purchase a personal test certificate.
Seleccione un tipo de certificado según sus necesidades de negocio. SSL Certificate Selection Guide.
Consulte Purchase a commercial certificate para completar la información de compra del certificado.
Periodo de validez
Los certificados SSL tienen dos periodos de validez:
Periodo de validez de la suscripción: duración de su pedido de certificado SSL. Se calcula desde la fecha en que se emite el certificado por primera vez.
Periodo de validez de emisión: ventana de validez certificada por la CA. Al expirar, la cadena de confianza se rompe y provoca interrupciones del servicio o advertencias de seguridad. Se calcula desde la fecha de emisión de la CA.
Los estándares del foro CA/B limitan la validez de emisión de cada certificado. Debe volver a solicitar y desplegar un certificado nuevo antes de que expire la validez de emisión dentro de su periodo de suscripción. Así evitará interrupciones en el servicio.
Ejemplo:
Adquiere un certificado de un año el 01/05/2026. La CA lo emite el 10/05/2026. Con una validez de emisión máxima de 199 días (valor ilustrativo), el primer certificado expira el 25/11/2026. Debe solicitar uno nuevo antes de esa fecha. El nuevo certificado expira el 10/05/2027, lo que finaliza la suscripción de un año.
Creación del certificado
Aplica únicamente a SSL Certificate Management (V1.0, compras nuevas descontinuadas). En SSL Certificate Management V2.0, no es necesario crear certificados después de la compra.
Si no vinculó un dominio durante la compra, cree un certificado para asociar la cuota con un dominio. El sistema proporciona la opción Quick Issue:
Seleccione Quick Issue: proporcione la información obligatoria de la solicitud. El sistema envía automáticamente la solicitud a la CA. Después, solo necesita completar domain ownership verification.
Si no selecciona Quick Issue: envíe la solicitud manualmente en la consola después de la creación. Submit a request to a certification authority (CA).
La lista de certificados solo muestra aquellos vinculados a un dominio. Los certificados sin vincular aparecen después de completar la operación Create Certificate.
Solicitud del certificado
-
Envíe una solicitud a la autoridad de certificación (CA)
Envíe una solicitud a una CA con la información obligatoria (nombre de dominio o IP, contacto, empresa y licencia comercial). Request certificate.
-
Verificación de la propiedad del nombre de dominio
Compruebe la propiedad del dominio al enviar la solicitud. Domain ownership validation.
Los certificados DV admiten tres métodos de validación: Automatic DNS Verification, Manual DNS Verification y File Verification.
Certificados EV/OV: complete la validación con base en el contenido del correo electrónico de verificación de dominio que envía la CA.
-
Revisión de la CA
Después de enviar la solicitud y completar la validación del dominio, espere la revisión de la CA. Consulte el progreso en CA review result handling. Los certificados DV suelen tardar entre 1 y 15 minutos; los certificados OV y EV toman aproximadamente 5 días naturales.
Despliegue del certificado
Cuando el estado del certificado cambia a "Issued", asegúrese de cumplir las siguientes condiciones para que surta efecto:
El certificado está desplegado en su servidor web (Nginx, Apache o IIS) o producto en la nube, y el servicio se reinició.
El cliente (navegador) confía en la CA emisora.
Tras el despliegue, su sitio utiliza HTTPS. Deploy SSL certificate.
Si su servidor se ubica en China continental, debe completar el registro ICP. De lo contrario, no podrá acceder al sitio web.
Si utiliza un servidor de Alibaba Cloud, acceda al sistema de registro ICP de Alibaba Cloud para completar el trámite del sitio web. Para obtener instrucciones detalladas, consulte ICP filing process.
Si no utiliza un servidor de Alibaba Cloud, acceda al sistema de registro de su proveedor de servidores o al sitio web de registro ICP del MIIT para completar el trámite.
Pasos siguientes
Renovación del certificado
Actualmente, SSL Certificate Management V2.0 no admite la renovación de certificados. Esta función estará disponible en una actualización futura.
Renueve o vuelva a solicitar los certificados vencidos a la brevedad para mantener la seguridad HTTPS. SSL Certificate Renewal and Expiration Handling.
Revocación del certificado
Si un certificado ya no se utiliza, revóquelo. Para más detalles, consulte Revoke and delete SSL certificates.
La revocación de un certificado es irreversible. La CA publica el estado de revocación mediante CRL u OCSP. Posteriormente, los navegadores y clientes rechazan el certificado y activan advertencias de seguridad.
Preguntas frecuentes
¿Qué hago si no encuentro el certificado después de comprarlo?
Si omite la información del dominio durante la compra, recibe un derecho de uso en lugar de un certificado listo para usarse. El certificado aparece en la lista solo después de que usted create an SSL certificate y vincula un dominio.
¿Los certificados SSL son compatibles con nombres de dominio en chino?
Sí. Si desea proteger un nombre de dominio en chino, debe convertirlo a Punycode según las indicaciones de la consola antes de solicitar un certificado. También puede usar una herramienta de transcodificación para convertir el nombre de dominio. Para más información, consulte Chinese domain name conversion.