HTTPS no te garantiza seguridad total

Antes de que existan malas interpretaciones, aclaremos algo: HTTPS sí proporciona una transmisión segura de datos entre tu navegador y el sitio web al que te conectas. “Segura” significa que la información viaja cifrada, es decir, convertida en un formato ilegible para terceros.

En la barra de direcciones puedes identificarlo por el prefijo “HTTPS://” y el icono del candado (o el símbolo que Google muestra actualmente al hacer clic en la barra de navegación).

Al desplegar los detalles de la conexión, verás el mensaje “La conexión es segura”.

Este candado indica que la información que compartes —como credenciales, datos financieros o personales— viaja protegida del acceso no autorizado. Esto te resguarda de ataques conocidos como “man in the middle” u hombre en medio, donde un atacante intercepta las comunicaciones para espiar o modificar la información.

---

Las tres propiedades esenciales de la información

En seguridad informática, la información debe cumplir con tres principios fundamentales:

• Confidencialidad: solo las personas autorizadas pueden acceder a ella.
• Integridad: los datos permanecen completos y sin alteraciones.
• Disponibilidad: la información está accesible cuando las personas autorizadas la necesitan.

---

¿Cómo HTTPS protege tus datos?

HTTPS mantiene tus datos confidenciales e íntegros mediante cifrado, que consiste en ocultar un mensaje para que nadie más pueda entenderlo.

Imagina que quieres enviar el mensaje “abc”, pero aplicas una clave donde “a” equivale a 😊, “b” al número 5 y “c” a la letra x. En lugar de enviar “abc”, transmitirías “😊5x”. Solo quien conoce la clave puede descifrarlo. En internet, ese proceso ocurre entre tu navegador (el transmisor) y el servidor donde se aloja la página (el receptor).

El cifrado real se basa en complejas operaciones matemáticas, pero esta es la base de funcionamiento. Gracias a esto, HTTPS garantiza la confidencialidad y la integridad de tus datos, siendo esencial para sitios financieros o aquellos que manejan información sensible.

Sin HTTPS, terceros —como proveedores de internet— podrían insertar anuncios o código malicioso sin tu conocimiento. HTTPS previene eficazmente este tipo de alteraciones.

---

El problema: no todo HTTPS es igual

Entonces, ¿por qué decimos que HTTPS no garantiza seguridad total?

Para funcionar, cada sitio debe tener un certificado digital, emitido por una entidad certificadora (CA por sus siglas en inglés). Existen tres tipos principales:

1. Validación por dominio (DV por sus siglas en inglés): rápida y económica; solo verifica la propiedad del dominio.
2. Validación por organización (OV por sus siglas en inglés): comprueba también información básica de la empresa.
3. Validación extendida (EV por sus siglas en inglés): exige una verificación legal y física exhaustiva.

Hoy en día, la mayoría de los proveedores de hosting incluyen gratuitamente un certificado DV al vender un dominio o paquete web. Esto hace que cualquier persona —incluso ciberdelincuentes— pueda crear fácilmente una página con candado HTTPS sin que exista una empresa real detrás.

Así, pueden suplantar sitios de marcas conocidas y usar el “candadito” para ganar tu confianza y cometer fraudes o robar información.

---

Lo que HTTPS no puede hacer por ti

HTTPS garantiza que tus datos viajen cifrados, pero no puede asegurarte que el sitio de destino sea legítimo.

Es un error creer que el candado previene todo tipo de ataques o estafas. Aunque ha sido una herramienta revolucionaria desde 1994 y sigue siendo indispensable, no es infalible.

Como toda tecnología, requiere otros controles para lograr una navegación realmente segura.

---

Qué puedes hacer tú como usuario

1. Desconfía de las ofertas demasiado buenas para ser verdad.
   Si ves una promoción de una marca conocida, verifica que la URL coincida con la página oficial.
   Cuando tengas dudas, busca tú mismo el sitio en Google o consulta directamente con la marca a través de sus redes sociales oficiales.
2. Revisa cuidadosamente la dirección web.
   Algunos caracteres pueden parecerse, como una “l” (L) minúscula y una “I” (i) mayúscula. Los atacantes aprovechan esto para crear dominios falsos que parecen auténticos. En ocasiones también usan direcciones que involucran el nombre de la marca oficial con otras palabras como: online, shop, etc.
3. Usa herramientas que te ayuden a verificar sitios:
   • Google Safe Browsing: https://safebrowsing.google.com/ — Indica si una página es segura o sospechosa. Su diagnóstico no siempre es fiable.
   • Desenmascara.me: https://desenmascara.me/ — Analiza páginas con inteligencia artificial y ofrece un diagnóstico útil, aunque no infalible.
   • VirusTotal: https://www.virustotal.com/gui/home/upload — Detecta software malicioso o archivos sospechosos en sitios web.
   Guarda estas herramientas en tus favoritos; pueden ser parte de tu “canasta básica” de protección digital.

---

En conclusión

El cifrado HTTPS es una maravilla tecnológica que ha reducido enormemente el robo de información en la web. Sin embargo, la seguridad total no depende solo de un candado en la barra del navegador, sino también de tu criterio y atención como usuario.

¡El conocimiento, como siempre, es tu mejor protección!

---