¿Necesito usar SSL en cada página de mi sitio web?

SSL es la forma de seguridad más común para la web. Lo ves cuando un sitio web se queja de no tener los certificados correctos. Lo ve con el icono de candado en la barra de estado de su navegador cuando visita un sitio seguro. Lo ves en la URL con el notificador HTTPS. Incluso te enteras en las noticias cuando aparece un error como Heartbleed.

Incluso con errores como Heartbleed, SSL sigue siendo mucho más seguro que una página a través de HTTP abierto. Entonces, ¿por qué toda la web no ha pasado a utilizar o exigir SSL en cada página? A una escala más personal, ¿debería habilitar SSL en cada página o debería limitarlo a páginas seguras como paneles de control de cuentas y páginas de inicio de sesión?

Cómo funciona SSL

SSL es esencialmente un protocolo de enlace secreto que permite que su tráfico ingrese a un club exclusivo donde hay privacidad casi total. Crea un lugar de encuentro velado entre su computadora y el servidor web que aloja las páginas a las que accede. El proceso exacto es algo como esto:

• • Su navegador visita un sitio web que utiliza SSLcomo una página de inicio de sesión.
• • Su navegador envía una solicitud al servidor solicitando identificarse. Después de todo, antes de darle su información a alguien, quiere saber si es alguien en quien puede confiar.
• • El servidor envía a su navegador una copia del certificado SSL que utiliza.
• • Su navegador verifica este certificado para ver si es confiable, asegurándose de que sea legítimo y no haya caducado. Si se da de baja, envía una respuesta al servidor.
• • Luego, el servidor envía un reconocimiento de confianza e inicia una sesión cifrada, como lo indica el icono de candado, la URL HTTPS, la barra de tareas verde u otro signo utilizado.
• • A partir de este momento, el tráfico entre su navegador y esta página web está cifrado.

El cifrado de datos utiliza un complejo sistema de claves públicas y privadas que es casi imposible de descifrar. Ningún pequeño hacker podría romper el cifrado SSL básico para robar su información. Incluso la NSA, que utiliza las supercomputadoras más potentes del mundo, tardaría, en el mejor de los casos, siglos en descifrar las claves necesarias para leer sus datos.

SSL se utiliza por dos razones. La primera razón es establecer identidad y seguridad en línea. Un sitio web, como su banco, utiliza SSL para indicarle quién dice ser. De esa manera, puede señalar fácilmente el ícono de candado o la URL HTTPS y decirle que, si no está allí, no ingrese su información. La segunda razón es la protección de esta información en sí. Si un hacker intercepta la información de su cuenta mientras está cifrada, todo lo que obtendrá será un galimatías confuso.

Por lo tanto, es fácil habilitar SSL para la página de inicio de sesión de su cuenta. ¿Lo está habilitando para todo su sitio?

Las desventajas del SSL en todo el sitio

Menos: costos del servidor. Cualquier solicitud realizada por un servidor se ha completado. SSL requiere un poco más de potencia de procesamiento y ancho de banda que el tráfico de bits no cifrado. A pequeña escala, eso no es mucho. Google vio un aumento muy pequeño en los gastos generales cuando Gmail cambió completamente a SSL, del orden del uno por ciento. Sin embargo, en Internet, un aumento del 1 al 2 por ciento en el desgaste del servidor puede ser significativo. Nota: Esto era mucho peor cuando las computadoras eran más lentas, pero es un factor mucho menor en las computadoras modernas. Es probable que la infraestructura del servidor supere fácilmente el aumento de carga de una Internet totalmente SSL.

Contras: Las redes de distribución de contenidos enfrentan desafíos. Con una CDN, su sitio web puede utilizar una docena de servidores diferentes para cargar una sola página. Esto crea un problema. Cuando su navegador visita www.website.com y solicita su certificado SSL, espera un certificado para esa URL. Puede obtener uno de CDN, www.cdn.com. Una discrepancia entre el nombre de host esperado y el real provoca un error y el navegador lee la conexión como no confiable.

Desventajas: los subdominios tienen un problema similar como las CDN. www.mail.website.com necesitará un certificado diferente al de www.users.website.com. Un único certificado llamado certificado comodín resuelve este problema, pero no funciona para http://website.com simple. Se requieren múltiples certificaciones.

Contras: De nuevo, similar al problema de CDN es el problema con las redes publicitarias. Un sitio web necesita saber que todos los activos servidos por la red publicitaria tienen certificación SSL. Más importante aún, la propia red publicitaria debe garantizar que todos los anuncios de terceros que publica estén igualmente protegidos. El problema se extiende hasta donde haya eslabones en la cadena, y si alguno de ellos no proporciona SSL, cada uno de los reenvíos de la cadena arroja errores.

Desventajas: si un sitio completo utiliza SSL, debe ser seguro, ¿verdad? Bueno, todavía hay algunas formas (en Internet que no utilizan SSL por completo) en las que su información puede ser secuestrada antes de cifrarse. El uso de SSL en todo su sitio puede crear una falsa sensación de seguridad para sus usuarios.

Contras: SSL puede interferir con algunas herramientas utilizadas para medir el rendimiento de SEO. HTTPS también requiere canonicalización y redireccionamientos 301 adecuados. Esto puede tardar algún tiempo en configurarse correctamente y no corrige el hecho de que algunas herramientas simplemente no funcionan.

Las ventajas del SSL para todo el sitio

Ventaja: por un lado, implementar SSL en todo su sitio es técnicamente más fácil que limitarlo a una sola página o a una selección de páginas. Esto hace que su implementación sea menos complicada para su personal técnico.

Ventaja: no tienes problemas donde su página de inicio de sesión no es segura pero el botón de envío sí lo es. Estos problemas pueden llevar a los usuarios a pensar que su información no está cifrada, aunque el envío y la transmisión de datos sean completamente seguros.

Ventaja: HTTPS es realmente más seguro. Tener SSL en todo su sitio limita la capacidad de los phishers de llevar a cabo ataques de suplantación de identidad en su sitio. Sus usuarios podrán esperar un cierto nivel de seguridad al utilizar su sitio.

la fila inferior

Como puede ver, las desventajas superan en cierta medida a las ventajas en esta situación. Sin embargo, muchas de las desventajas son problemas que pueden aliviarse si más sitios y proveedores de contenido adoptan el uso completo de SSL.

La recomendación general es utilizar SSL para las partes de su sitio que absolutamente necesitan seguridad. Las páginas de inicio de sesión, los formularios de envío confidenciales y otro tráfico similar deben estar cifrados, por lo que necesita al menos este nivel básico de uso de SSL.

Con el tiempo, a medida que Internet se migre a SSL, podrá ampliar el uso de SSL para cubrir el resto de su sitio. Es posible que experimente problemas con proveedores de contenido de terceros si esos proveedores no han implementado completamente su SSL. Una vez que se resuelvan estos problemas, SSL en todo el sitio será el nuevo estándar.