HTTP y HTTPS: qué significa el candado del navegador (y qué no)

Cuando visitas una web, tu navegador y el servidor hablan con el protocolo HTTP (Hypertext Transfer Protocol): el navegador pide una página y el servidor responde. HTTPS es lo mismo, pero con la conversación cifrada mediante el protocolo TLS. La «S» viene de Secure.

Qué protege HTTPS

Con HTTP sin cifrar, cualquiera que esté «en medio» —alguien en la misma wifi pública, el router de una cafetería, un equipo intermedio de la red— podría leer lo que envías y recibes (contraseñas, mensajes, datos de tarjeta) e incluso modificar la página que te llega.

HTTPS lo impide de tres formas:

1. Confidencialidad: los datos viajan cifrados; quien los intercepte solo ve ruido.
2. Integridad: si alguien modifica los datos por el camino, el navegador lo detecta.
3. Autenticación del dominio: el servidor demuestra, con un certificado, que es el dueño del dominio que estás visitando.

El certificado

El certificado es un documento digital que vincula un dominio (por ejemplo, www.portaltec.eu) con unas claves criptográficas, firmado por una autoridad de certificación en la que confía tu navegador. Hoy obtenerlo es gratis y automático gracias a servicios como Let's Encrypt, que explica en su web cómo verifica que quien lo pide controla de verdad el dominio. Por eso casi todas las webs usan ya HTTPS.

Lo que el candado NO significa

Este es el malentendido más peligroso: el candado no significa que la web sea segura o legítima. Solo significa que la conexión entre tú y esa web está cifrada.

Una web de phishing que imita a tu banco puede tener su propio certificado perfectamente válido para su propio dominio (mibanco-verificacion.com). Tu conexión con el estafador estará cifrada… pero sigue siendo el estafador.

Lo que debes comprobar siempre es el dominio: que la dirección sea exactamente la de la empresa. Te explicamos cómo leerlo en cómo detectar un correo de phishing.

Por esta confusión, los navegadores han ido retirando o cambiando el icono del candado por otro más neutro: lo importante es el aviso cuando algo no es seguro.

Avisos del navegador

• «No es seguro» junto a la dirección: la web usa HTTP sin cifrar. No escribas en ella contraseñas ni datos personales.
• «La conexión no es privada» o «Advertencia: riesgo potencial de seguridad»: el certificado no es válido (caducado, de otro dominio o falsificado). Lo prudente es no continuar, sobre todo si es una web donde inicias sesión. A veces la causa es simplemente que la fecha y hora de tu ordenador están mal: compruébalas.

¿Y en mi wifi de casa?

HTTPS protege incluso en redes que no controlas, como la wifi de un hotel. Eso ha reducido mucho el riesgo de las wifis públicas, aunque conviene seguir evitando hacer gestiones importantes en ellas si puedes usar los datos móviles. Para entender el cifrado en general, mira qué es el cifrado.

Resumen

• HTTP: sin cifrar. Evita escribir datos.
• HTTPS: cifrado entre tú y la web, con certificado del dominio.
• El candado no garantiza que la web sea honrada: mira siempre el dominio.