4

He recibido un correo de Google en el que me dice que se penalizará a las web que no sean HTTPS:

Las páginas no seguras que recopilen contraseñas generarán advertencias en Chrome 56 para xxxxx.es

To: propietario de xxxxxx.es

A partir de enero de 2017 Chrome (versión 56 y posterior) marcará como no seguras aquellas páginas que recopilen contraseñas o información sobre tarjetas de crédito, a menos que se publiquen a través del protocolo HTTPS.

Las URL siguientes incluyen campos para introducir contraseñas o datos de tarjeta de crédito por los que se mostrará la nueva advertencia de Chrome. Repasa estos ejemplos para ver dónde aparecerán las notificaciones y puedas tomar las medidas necesarias para seguir protegiendo los datos de los usuarios. No es una lista completa; solo son ejemplos.

[URLS]

Esta nueva advertencia es la primera fase de un plan a largo plazo para marcar como no seguras todas aquellas páginas que no estén encriptadas con el protocolo HTTP.

Para resolver el problema: Recopila la información confidencial a través de páginas HTTPS. Para que no aparezca el mensaje de "página no segura" cuando un usuario de Chrome visite tu sitio, incluye los campos que recopilan contraseñas y datos de tarjeta de crédito en páginas encriptadas mediante el protocolo HTTPS

Mis webs son HTTP y no sé como conseguir este certificado, ni para qué sirve o cómo se implementa. Algún experto en el tema me puede decir:

  • ¿Qué es el certificado SSL? ¿Y para qué sirve?
  • ¿Cómo lo implemento en mi sitio web para la seguridad de todos los usuarios?
7
  • Lo primero que tienes que hacer es hacer una solicitud de firma de certificado (csr, certificate sign request), por cada servidor que tengas. Luego tienes que enviar este certificado a una entidad certificadora, rapidssl suele ser buena y rapida. Despues de pagar por la firma de tus certificados puedes colocarlos en cada webserver que tengas. Commented el 24 ene. 2017 a las 16:41
  • 1
    Hay una alternativa gratuita para obtener certificados ssl, revisa letsencrypt.org Commented el 24 ene. 2017 a las 16:42
  • 1
    ¿Podrías compartir el email que recibiste de Google (quitando datos privados e incluyendo la dirección de correo desde donde se envió)? Lo que dice suena a spam.
    – Alvaro Montoro
    Commented el 26 ene. 2017 a las 13:56
  • 3
    Voto por reabrir esta pregunta. "¿Qué es un certificado SSL?" es algo objetivo y no basado en opiniones; y, aunque trate sobre configuración de servidores, es un tema aceptado en este sitio al ser una herramienta software de programación
    – Alvaro Montoro
    Commented el 26 ene. 2017 a las 14:08
  • . Repasa estos ejemplos para ver dónde aparecerán las notificaciones y puedas tomar las medidas necesarias para seguir protegiendo los datos de los usuarios. No es una lista completa; solo son ejemplos. Esta nueva advertencia es la primera fase de un plan a largo plazo para marcar como no seguras todas aquellas páginas que no estén encriptadas con el protocolo HTTP. Para resolver el problema: Recopila la información confidencial a través de páginas HTTPS Commented el 26 ene. 2017 a las 16:45

3 respuestas 3

3

Primero, una aclaración: el problema no es que se te vaya a penalizar por no usar HTTPS, se te va a penalizar por no usar HTTPS en páginas en las que el usuario va a introducir información privada (p.e. contraseñas, tarjetas de crédito, cuentas bancarias...)

Y la penalización no es en la indexación por no usar HTTPS (aunque es algo que Google tiene en cuenta desde al menos 2014), sino que el navegador Chrome mostrará un mensaje al usuario indicando que la página no es segura y que sus datos se mandarán de forma no segura (algo que afectará negativamente porque asustará a algunos usuarios). Si tus visitantes usan Firefox o IE/Edge no verán esa advertencia.


¿Qué es el certificado SSL? ¿Y para qué sirve?

Un certificado SSL es un fichero pequeño asociado a una clave criptográfica de una empresa u organización, que se instala en un servidor y permite que que se creen conexiones seguras entre ese servidor y el navegador del cliente.

Los certificados SSL permiten proteger la información de usuarios y clientes porque se usan para encriptar la comunicación y los datos enviados, desencriptándose en el destino y evitando posibles amenazas como el ataque del intermediario (Man-in-the-Middle).

En tu caso particular, y como mencionaba arriba, has recibido el email porque tienes (al menos) una página en la que el usuario va a introducir información sensible y se va a hacer de forma insegura (con HTTP en lugar de HTTPS). Al no ser HTTPS, esa información no se encriptará y podría ser leida por un atacante.

Un dato importante a tener en cuenta: que la conexión sea HTTPS no quiere decir que puedas confiar de todos los datos que recibas del usuario. El usuario podría ser el atacante, por lo que debes seguir implementando métodos para prevenir otro tipo de ataques (p.e. inyección SQL, XSS).


¿Cómo lo implemento en mi sitio web para la seguridad de todos los usuarios?

Esto va a depender del tipo de servidor y servicio web que tengas. Normalmente, tu proveedor de alojamiento web también ofrecerá servicios de seguridad y te permitirá contratar y comprar SSL para que tus páginas sean seguras y si tu servidor es compartido, lo harán por ti.

Si tienes un servidor propio, entonces puede que te toque hacerlo a ti y será diferente dependiendo del servidor Web que tengas instalado. En la página de GoDaddy puedes encontrar guías (en inglés) sobre cómo hacerlo en IIS o Apache.

Una vez que tengas instalado y configurado el certificado SSL, ya puedes servir tus páginas a través de HTTPS (puedes necesitar hacer algunos cambios en el web.config o .htaccess para poner una redirección de HTTP a HTTPS).

0

Para obtener el certificado tendrás que contactar al proveedor de tu hosting (normalmente lo ofrece como servicio de pago) ellos lo podran instalar en el servidor. Una vez instalado en el servidor tendras que redireccionar todo tu trafico de http a https normalmente a traves de htaccess

-1

Este es un certificado que encripta la comunicacion entre el cliente y tu sitio web, pero estos tienen un costo, sobre que google los penalize me parece mas SPAM ese mail que otra cosa, dudo mucho que google haga esto

2
  • Estoy de acuerdo en que el email suena a spam, pero una cosa sí es verdad: Google inició hace unos años una campaña a favor del HTTPS y agregó HTTPS a su criterio de indexación (aunque sin especificar su peso).
    – Alvaro Montoro
    Commented el 26 ene. 2017 a las 14:24
  • Esta respuesta no es valida, Google realmente esta detras de esta iniciativa: security.googleblog.com/2016/09/… Commented el 26 ene. 2017 a las 18:19

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.