TLS es un protocolo criptográfico que proporciona una comunicación segura a través de las redes informáticas. En los navegadores web, permite HTTPS, garantizando la confidencialidad, la integridad y la autenticación de los datos entre los clientes y los servidores. Las aplicaciones web modernas deben utilizar la última versión de TLS y las configuraciones de cifrado adecuadas para mantener la seguridad.
Transport Layer Security es el protocolo criptográfico que asegura los datos mientras viajan entre dos extremos de una red. Es el sucesor de SSL y sustenta HTTPS, además del correo seguro, las VPN y muchos otros protocolos. Una sesión TLS comienza con un handshake: el cliente y el servidor acuerdan una versión de protocolo y una suite de cifrado, el servidor (y opcionalmente el cliente) se autentica con un certificado X.509, y ambas partes derivan claves de sesión frescas, normalmente usando un intercambio de claves efímero para que el tráfico pasado siga a salvo aunque una clave se filtre más adelante. Tras el handshake, los datos de la aplicación se cifran y cada registro lleva una etiqueta de autenticación que detecta cualquier manipulación en tránsito.
TLS ofrece las tres propiedades de las que depende el tráfico web: confidencialidad, para que los datos no puedan leerse en el cable; integridad, para que no puedan alterarse en silencio; y autenticación, para que el cliente sepa a qué servidor llegó. Sin ella, las credenciales, los tokens de sesión y los datos personales cruzan la red en claro, y un atacante activo puede reescribir las respuestas. La versión del protocolo y la elección de cifrados importan muchísimo: las versiones obsoletas como SSL 3.0, TLS 1.0 y TLS 1.1 tienen debilidades conocidas, mientras que TLS 1.2 y TLS 1.3 con cifrados de secreto hacia adelante son la referencia actual. TLS 1.3 también recorta el handshake y descarta opciones heredadas e inseguras.
Admite solo TLS 1.2 y 1.3, desactiva los cifrados débiles y la renegociación, prioriza el secreto hacia adelante y mantén los certificados válidos y renovados automáticamente. Combina TLS con HSTS para que los navegadores nunca recaigan en texto plano, y vigila el contenido mixto que se salta sigilosamente el canal cifrado. TLS es una primitiva neutra de la plataforma web: protege la tubería, no la carga útil. Un script de terceros malicioso llega por una conexión TLS perfectamente válida, así que monitorizar en el lado del cliente qué código se ejecuta realmente es una preocupación distinta que el cifrado del transporte no puede abordar por sí solo.
TLS es el sucesor moderno de SSL. SSL 2.0 y 3.0 están obsoletos y son inseguros, y el término SSL sobrevive sobre todo por costumbre, en expresiones como certificado SSL. Cuando hoy la gente dice SSL casi siempre se refiere a TLS, que es lo que navegadores y servidores negocian en realidad.
No. TLS asegura la conexión con un servidor y confirma su identidad, pero no emite ningún juicio sobre las intenciones del servidor ni sobre los scripts que sirve. El malware y los skimmers se entregan por TLS válido con la misma fiabilidad que el contenido legítimo. Para eso hacen falta defensas a nivel de contenido.
We answer client-side security questions every day. Bring yours.