¿Qué es una cadena de certificados SSL? Cómo funciona

Una cadena de certificados SSL ayuda a los navegadores y otros clientes a verificar que se puede confiar en el certificado digital de un sitio web. Cuando visita un sitio web a través de HTTPS, su navegador verifica su certificado TLS para confirmar que identifica el dominio solicitado y puede validarse a través de una autoridad certificadora (CA) confiable. Esta verificación a menudo depende de una cadena de certificados que conectan el certificado del sitio web con un certificado raíz confiable. Si falta un certificado intermedio o no se puede validar la cadena, los usuarios pueden encontrar advertencias de seguridad o errores de conexión. Comprender cómo funciona una cadena de certificados SSL ayuda a los propietarios de sitios web, administradores de sistemas y profesionales de la seguridad a solucionar problemas de certificados y mantener conexiones HTTPS confiables.

¿Qué es una cadena de certificados SSL?

Una cadena de certificados SSL, también llamada cadena de certificados de confianza, es una secuencia de certificados digitales que establece una ruta desde el certificado de un sitio web hasta una autoridad certificadora raíz confiable. Aunque SSL sigue siendo un término común, las conexiones HTTPS modernas utilizan Transport Layer Security (TLS).

Una cadena típica contiene tres tipos de certificados: el certificado hoja del sitio web, uno o más certificados intermedios y un certificado raíz. El certificado hoja identifica el sitio web o servidor. Los certificados intermedios permiten delegar la emisión de certificados, mientras que el certificado raíz sirve como ancla de confianza cuando el cliente confía en él.

Por ejemplo, cuando un navegador se conecta a un sitio web HTTPS, valida el certificado del sitio web e intenta crear una ruta confiable a través de los certificados intermedios disponibles hasta un certificado raíz en su almacén de confianza. También verifica el nombre de host, las fechas de validez, las firmas digitales y otros requisitos de certificado aplicables.

Una cadena de certificados válida ayuda a establecer la identidad del servidor durante el protocolo de enlace TLS. Sin embargo, no prueba que un sitio web sea legítimo, esté libre de malware o esté operado por una organización confiable.

¿Cómo funciona la cadena de confianza del certificado SSL?

La cadena de confianza de certificados permite a los navegadores y otros clientes validar el certificado de un sitio web utilizando certificados emitidos por autoridades confiables. Cada certificado se vincula a una autoridad emisora, creando una ruta desde el certificado del sitio web hasta un ancla de confianza aceptable.

Paso 1: El Sitio Web Presenta su Certificado

Cuando un navegador se conecta a un sitio web a través de HTTPS, el servidor presenta su certificado hoja durante el protocolo de enlace TLS. Este certificado contiene la clave pública del sitio web, información del dominio, detalles del emisor, período de validez y firma digital.

El navegador comprueba si el nombre de host solicitado coincide con las entradas del nombre alternativo del sujeto (SAN) del certificado y si el certificado satisface los requisitos de validación aplicables.

Paso 2: El Certificado Intermedio Establece el Siguiente Enlace

El certificado del sitio web suele ser emitido por una CA intermedia en lugar de directamente por una CA raíz. El cliente utiliza la clave pública del certificado intermedio para verificar la firma en el certificado hoja.

Algunas cadenas contienen varios certificados intermedios. Cada enlace debe satisfacer las reglas de validación de certificados relevantes para que el cliente cree una ruta confiable.

Paso 3: La cadena llega a una raíz confiable

Un certificado raíz pertenece a una autoridad certificadora raíz y normalmente está autofirmado. Los navegadores y los sistemas operativos mantienen certificados raíz confiables de acuerdo con sus propias políticas de confianza.

El cliente intenta conectar el certificado hoja a través de los certificados intermedios necesarios a una raíz confiable. Normalmente, el servidor no necesita enviar el certificado raíz porque el cliente ya tiene su información de confianza.

Paso 4: El Cliente Valida la Cadena

El cliente verifica las firmas de los certificados, los períodos de validez, el nombre de host, las restricciones del certificado y otros requisitos aplicables. Dependiendo de su configuración, también puede verificar la información de revocación del certificado.

Si el cliente crea una ruta válida y se pasan las comprobaciones requeridas, puede aceptar el certificado del servidor. De lo contrario, la conexión puede generar una advertencia de certificado o fallar.

Certificado raíz versus certificado intermedio versus certificado hoja

Cada certificado de la cadena tiene un propósito específico. Comprender estas diferencias ayuda a los administradores a configurar HTTPS correctamente y solucionar errores de certificados.

1. Certificado hoja

Un certificado hoja, también llamado certificado de entidad final, identifica un sitio web o servidor. Contiene la clave pública, información del dominio, emisor, fechas de validez y firma digital.

El servidor presenta este certificado al cliente durante el protocolo de enlace TLS. El cliente comprueba su identidad y validez antes de aceptarlo para la conexión.

2. Certificado Intermedio

Un certificado intermedio pertenece a una autoridad certificadora subordinada que emite certificados o delega la emisión a otra autoridad. Conecta el certificado del sitio web a un certificado raíz confiable.

Las CA intermedias permiten a las CA raíz mantener sus claves privadas más aisladas mientras delegan la emisión de certificados. Si falta un certificado intermedio requerido y no se puede obtener a través de otro mecanismo disponible, es posible que el cliente no pueda validar la cadena.

3. Certificado raíz

Un certificado raíz pertenece a una autoridad de certificación raíz y actúa como un ancla de confianza cuando lo acepta el almacén de confianza de un cliente. Por lo general, está autofirmado, pero esto no hace que un certificado sea confiable automáticamente.

El cliente debe reconocer la raíz como confiable según su política de confianza configurada.

Por tanto, una cadena típica sigue este camino:

Certificado de sitio web → Certificado de CA intermedio → Certificado raíz de confianza

La cadena exacta depende de la autoridad certificadora, la configuración del servidor y los certificados disponibles para el cliente.

Cómo los navegadores validan una cadena de certificados SSL

Los navegadores validan las cadenas de certificados durante el protocolo de enlace TLS para determinar si se puede confiar en la identidad del servidor.

Verificación del nombre de host

El navegador comprueba si el dominio solicitado coincide con las entradas SAN del certificado. Un certificado emitido paraejemplo.compuede no cubrirtienda.ejemplo.coma menos que se incluya el nombre de host adicional o un comodín apropiado.

Una discrepancia en el nombre de host puede generar una advertencia en el navegador o hacer que se rechace la conexión.

Verificación de firma digital

Las firmas digitales ayudan a los clientes a verificar la integridad y autenticidad del certificado dentro de la ruta de certificación. El cliente utiliza la clave pública del certificado emisor para verificar la firma del certificado que se está examinando.

Las operaciones criptográficas son fundamentales para este proceso. Para obtener una explicación relacionada, lea la guía de CyberLad parahash en ciberseguridad.

Vencimiento del certificado

Los certificados tienen períodos de validez definidos por suNo antesyNo despuéscampos. El cliente comprueba si los certificados pertinentes son válidos en el momento de la verificación.

Un certificado hoja o intermedio vencido puede impedir una validación exitosa. Los administradores deben monitorear las fechas de vencimiento y confirmar que los certificados renovados se hayan instalado correctamente.

Almacén de confianza y ruta de certificado

El cliente intenta crear una ruta válida desde el certificado hoja a través de los certificados intermedios hasta un ancla de confianza aceptable. También verifica las restricciones de certificados aplicables y los requisitos de uso de claves.

Las tiendas de confianza varían según el sistema operativo, el navegador y la aplicación. Es posible que un certificado de confianza en un entorno no lo sea en otro.

Revocación del certificado

Los certificados se pueden revocar antes de su fecha de vencimiento si sus claves privadas se ven comprometidas o si otras condiciones requieren la revocación. Las autoridades certificadoras pueden publicar información de revocación a través de Listas de revocación de certificados (CRL) o el Protocolo de estado de certificados en línea (OCSP).

El comportamiento de verificación de revocaciones varía según los clientes. Algunos utilizan información almacenada en caché o mecanismos alternativos, por lo que una validación de cadena exitosa no siempre significa que todos los clientes realizaron verificaciones de revocación idénticas.

Errores comunes de la cadena de certificados SSL y sus causas

Los errores de la cadena de certificados ocurren cuando un cliente no puede validar el certificado presentado por un servidor. Identificar el error específico es esencial porque cada problema requiere una solución diferente.

1. Cadena de certificados incompleta

Se produce una cadena incompleta cuando el servidor no proporciona un certificado intermedio requerido y el cliente no puede crear una ruta confiable utilizando otros certificados disponibles.

Las causas comunes incluyen certificados intermedios faltantes, paquetes de certificados incorrectos y cambios de configuración después de una migración de servidor.

Cómo solucionarlo:Obtenga los certificados intermedios correctos de su autoridad certificadora y configure el servidor para presentar el certificado hoja seguido de los intermedios requeridos.

2. Autoridad de certificación no confiable

Un cliente puede rechazar una cadena cuando no puede conectar el certificado a un ancla de confianza aceptable. Esto puede suceder con certificados autofirmados o certificados de CA privados que no se han instalado en el almacén de confianza del cliente.

Cómo solucionarlo:Utilice una CA de confianza pública para sitios web públicos. Para aplicaciones internas, distribuya el certificado raíz de la organización a través de un proceso de gestión de confianza aprobado. Nunca instale un certificado raíz desconocido simplemente para omitir una advertencia.

3. Certificado caducado

Un certificado hoja o intermedio vencido puede impedir una validación exitosa.

Cómo solucionarlo:Verifique las fechas de validez, renueve o reemplace el certificado afectado y asegúrese de que la cadena de certificados actualizada esté instalada en cada punto de terminación TLS relevante.

4. El nombre de host no coincide

Se produce una discrepancia en el nombre de host cuando el dominio solicitado no está cubierto por las entradas SAN del certificado.

Cómo solucionarlo:Instale un certificado que cubra el nombre de host solicitado. Revise la configuración del host virtual, la indicación del nombre del servidor (SNI) y los enlaces de certificados del equilibrador de carga.

5. Paquete de certificados incorrecto

Un servidor puede presentar el certificado intermedio incorrecto o un paquete de certificados ordenado incorrectamente.

Cómo solucionarlo:Compare el emisor del certificado hoja con los certificados intermedios configurados. Corrija el paquete y pruebe la configuración del servidor antes de recargar el servicio.

6. Revocación u otro fallo de validación

Un certificado puede no aprobar la validación porque ha sido revocado o no cumple con otro requisito de certificado aplicable.

Cómo solucionarlo:Verifique el estado del certificado y consulte las instrucciones de la CA emisora. Reemplace un certificado revocado e investigue la causa. Deshabilitar la verificación de certificados no es una solución segura.

Cómo comprobar una cadena de certificados SSL

Puede inspeccionar la cadena de certificados de un sitio web público utilizando un servicio de prueba en línea o herramientas de línea de comandos.

Método 1: utilizar SSL Labs

Qualys SSL Labs SSL Server Test analiza servidores TLS de acceso público e informa problemas de configuración y certificados.

1. Abra la página de pruebas de SSL Labs.

2. Ingrese el dominio que desea inspeccionar.

3. Ejecute la prueba y espere el análisis.

4. Revise los detalles del certificado y la información de la cadena.

5. Investigue advertencias sobre confianza, caducidad, intermediarios faltantes o validación de nombres de host.

SSL Labs es útil para pruebas externas sin instalar software adicional. Evite enviar sistemas o nombres de host internos confidenciales a menos que las políticas de su organización permitan el uso de un servicio externo.

Método 2: inspeccionar certificados con OpenSSL

OpenSSL puede mostrar certificados presentados por un servidor durante una conexión TLS. Ejecutar:

openssl s_client -connect ejemplo.com:443 \
  -nombre de servidor ejemplo.com \
  -showcerts

Reemplazarejemplo.comcon el dominio objetivo.

El-conectarLa opción especifica el destino y el puerto. El-nombredeservidorLa opción envía el nombre de host a través de SNI, mientras que-showcertsmuestra los certificados enviados por el servidor.

Importante:Mostrar certificados no prueba que la cadena sea confiable. Utilice las opciones de verificación para verificar la ruta del certificado y el nombre de host.

Método 3: verificar la cadena y el nombre de host

Ejecute el siguiente comando para solicitar la verificación del certificado y del nombre de host:

openssl s_client \
  -conectar ejemplo.com:443 \
  -nombre de servidor ejemplo.com \
  -verificar_retorno_error \
  -verify_hostname ejemplo.com

Busque un resultado de verificación exitoso, comoVerificar código de retorno: 0 (ok). El resultado exacto depende de la versión de OpenSSL, el almacén de confianza y la configuración de verificación.

El-verify_return_errorLa opción hace que se devuelvan errores de verificación en lugar de permitir que el comando continúe después de ellos. Ver eldocumentación oficial de OpenSSL s_client.

Método 4: inspeccionar los detalles del emisor y del vencimiento

Si ha guardado el certificado hoja como un archivo PEM, ejecute:

openssl x509 -en certificado.pem -noout \
  -asunto -emisor -fechas

Esto muestra el asunto, el emisor y las fechas de validez del certificado. Utilice el resultado para comprobar si el emisor coincide con la CA esperada y si el certificado se encuentra dentro de su período de validez.

Cómo arreglar una cadena de certificados SSL incompleta

Arreglar una cadena incompleta generalmente implica identificar el intermedio que falta, obtener el paquete de certificados correcto, configurar el punto final TLS y probar el resultado.

Paso 1: Identificar el intermedio que falta

Ejecute el comando OpenSSL anterior o utilice SSL Labs para examinar la cadena. Compruebe qué certificados envía el servidor y si el cliente puede crear una ruta confiable.

Un error en la verificación no siempre significa que falta un intermediario. Investigue también la caducidad, las discrepancias en los nombres de host y los problemas del almacén de confianza.

Paso 2: obtenga el paquete de certificados correcto

Descargue los certificados intermedios necesarios del sitio web oficial de su autoridad certificadora o del portal de administración de certificados. Confirma que los certificados corresponden al emisor de tu certificado hoja.

Normalmente, el certificado raíz ya está disponible en el almacén de confianza del cliente y generalmente no es necesario incluirlo en el paquete de certificados del servidor.

Paso 3: Configurar Nginx

Para Nginx, el archivo de certificado debe contener primero el certificado hoja, seguido de los certificados intermedios requeridos.

servidor {
    escuchar 443 ssl;
    nombre_servidor ejemplo.com;

    ssl_certificate /etc/ssl/certs/fullchain.pem;
    ssl_certificate_key /etc/ssl/private/example.com.key;
}

Los caminos son ejemplos. Utilice las ubicaciones correctas para su entorno y asegúrese de que la clave privada esté protegida por los permisos adecuados.

Pruebe la configuración antes de recargar Nginx:

sudo nginx -t

Paso 4: Verifique Apache y otros puntos finales TLS

Las configuraciones de Apache pueden usarArchivo de certificado SSLpara proporcionar el certificado hoja y los certificados intermedios necesarios. Siga la documentación para su versión e implementación de Apache.

Si HTTPS termina en un proxy inverso, una red de entrega de contenido, un firewall de aplicaciones web o un equilibrador de carga, verifique el certificado instalado en esa capa. Actualizar solo el servidor de origen no solucionará un certificado incorrecto entregado por un proxy independiente.

Paso 5: verificar la solución

Después de realizar los cambios, vuelva a ejecutar OpenSSL y SSL Labs. Confirme que el servidor presente los certificados esperados y que el cliente pueda validar la cadena y el nombre de host.

Para entornos con múltiples servidores o puntos de terminación TLS, pruebe cada punto final relevante. Un resultado exitoso en un servidor no garantiza que todos los puntos finales tengan la misma configuración.

Mejores prácticas de la cadena de certificados SSL

Utilice autoridades de certificación confiables

Utilice CA de confianza pública para sitios web públicos. Para aplicaciones internas, distribuya la confianza de CA privada de forma segura a los clientes autorizados.

Automatizar la renovación y el seguimiento

Utilice herramientas de administración de certificados cuando sean compatibles y avise a los administradores antes de que caduquen los certificados. Verifique que los puntos finales relevantes realmente implementen y atiendan los certificados renovados.

Proteger claves privadas

Restrinja el acceso a las claves privadas de los certificados, guárdelas de forma segura y evite exponerlas en registros o repositorios públicos. Si una clave se ve comprometida, reemplace el certificado afectado y siga los procedimientos apropiados de revocación y respuesta a incidentes.

Validar después de los cambios de configuración

Pruebe la cadena de certificados después de renovaciones, migraciones de servidores, cambios en el equilibrador de carga o actualizaciones de proxy inverso. Verifique los errores de coincidencia, vencimiento, construcción de cadena y verificación de nombres de host.

Mantener un inventario de certificados

Registre los propietarios de certificados, dominios, CA emisoras, fechas de vencimiento, ubicaciones de implementación y métodos de renovación. Un inventario centralizado ayuda a los equipos a encontrar rápidamente los servicios afectados durante las interrupciones.

Supervisar certificados de terceros

Los problemas de certificados pueden afectar los servicios de los que depende su organización, no solo su propio sitio web. Supervise importantes puntos finales TLS externos, incluidos proveedores de identidad, pasarelas de pago y API. CyberLad explica este riesgo más amplio enCinco riesgos de terceros que su escáner de vulnerabilidades no puede detectar.

Utilice configuraciones TLS seguras

Una cadena de certificados válida es sólo una parte de la seguridad HTTPS. Utilice versiones TLS compatibles, configuraciones criptográficas adecuadas y prácticas seguras de administración de claves. Un certificado confiable no garantiza que una aplicación esté libre de vulnerabilidades.

Conclusión

Una cadena de certificados SSL es una parte esencial de la seguridad HTTPS porque permite a los navegadores y otros clientes validar el certificado de un sitio web a través de una ruta hacia una autoridad certificadora confiable. Comprender los certificados hoja, intermedios y raíz ayuda a los administradores a solucionar problemas de cadenas incompletas, certificados caducados y errores de confianza. El monitoreo regular, la configuración correcta del servidor, la administración segura de claves privadas y la verificación posterior a la implementación ayudan a mantener conexiones TLS confiables. Siguiendo estas prácticas, los propietarios de sitios web y los profesionales de la seguridad pueden reducir las interrupciones relacionadas con los certificados y mejorar la confiabilidad de su infraestructura HTTPS.

Preguntas frecuentes

¿Qué es una cadena de certificados SSL?

Una cadena de certificados SSL es una secuencia de certificados digitales que establece una ruta desde el certificado de un sitio web hasta una autoridad certificadora raíz confiable. Comúnmente incluye el certificado hoja y uno o más certificados intermedios.

¿Cuál es la diferencia entre un certificado raíz y un certificado intermedio?

Un certificado raíz actúa como un ancla de confianza cuando el cliente lo acepta. Un certificado intermedio delega la emisión de certificados y conecta el certificado hoja a la raíz confiable.

¿Es necesario que un servidor web envíe el certificado raíz?

Generalmente no. El servidor normalmente envía su certificado hoja y los certificados intermedios requeridos. Por lo general, el cliente ya tiene su certificado raíz de confianza en su almacén de confianza.

¿Cómo puedo verificar una cadena de certificados SSL?

UsoLaboratorios SSLinspeccionar un sitio web público o ejecutaropenssl s_clientexaminar los certificados presentados por un servidor. Incluya opciones de verificación de certificado y nombre de host al comprobar si se puede confiar en la cadena.

¿Qué causa una cadena de certificados SSL incompleta?

La causa más común es la falta de un certificado intermedio. Los paquetes de certificados incorrectos, las configuraciones obsoletas y las configuraciones TLS inconsistentes entre los servidores también pueden impedir que los clientes creen una ruta de certificación válida.

¿Cómo soluciono una cadena de certificados incompleta?

Obtenga los certificados intermedios correctos de la CA, configure el servidor para presentar el certificado hoja seguido de los intermedios necesarios y pruebe la configuración actualizada. Los pasos precisos dependen del software del servidor y del punto de terminación TLS.

¿Es lo mismo una cadena de certificados SSL que un certificado SSL?

No. Un certificado contiene información sobre la identidad y la clave pública de un sitio web. La cadena es la secuencia de certificados utilizados para establecer una ruta confiable desde ese certificado hasta un ancla de confianza aceptable.

¿Una cadena de certificados válida significa que un sitio web es seguro?

No. Una cadena válida ayuda a verificar la identidad certificada de un sitio web según la política de confianza del cliente. No garantiza que el sitio web sea legítimo, esté libre de malware o esté protegido contra vulnerabilidades de las aplicaciones.