1

Tengo un cliente que quiere instalar un certificado SSL para que corra en toda su web. Yo le gestiono la web pero no el servidor, así que el que le gestiona el servidor le hará la instalación, este me contacta diciéndome que si él instala el SSL, quiere saber si yo haré los cambios en la web. Pero yo he instalado otros certificados en webs de otros clientes y no se a que se refiere.

¿Alguien sabe a que se refiere cuando me dice que haga los cambios en la web al instalar el SSL?

1 respuesta 1

3

Comprobaciones en el contenido de la web

Hay varias cosas que podrían cambiar al agregar un certificado a un servidor web para ofrecer acceso HTTPS:

  • Comprobar que los enlaces absolutos apuntan a HTTPS en vez de HTTP: si tienes menús en los que no se usan rutas relativas, o se especifica explícitamente HTTP en vez de HTTPS habrá que cambiarlo.
  • Comprobar que los formularios funcionan correctamente sin mostrar advertencias de seguridad. Puedes comprobar que las URLs de los campos action de la etiqueta <form> no sean absolutas. Algunas veces los envíos se hacen mediante bibliotecas de funciones como jQuery, lo que podría complicarte algo la búsqueda de URLs introducidas de manera manual, sobre todo si la URL o la generación está algo ofuscada (de manera voluntaria o involuntaria).
  • Si la página está generada en el servidor (es dinámica usando PHP, Node.js, ASP, etc):
    • Comprobar que todas las aplicaciones usan rutas relativas o, en caso de no usarlas, apuntan a HTTPS en vez de HTTP.
    • Algunas aplicaciones web fijan en sus archivos de configuración la URL base sobre la que trabajan. Habrá que cambiar dichos archivos de configuración para que todo funcione sobre HTTPS.
  • Puede que haya algún javascript o aplicación web que compruebe la procedencia del dominio (cabeceras Access-Control-Allow-Origin, por ejemplo), como APIs externos (Google Maps, Google AdWords, etc) que requieren configurar la URL remota permitida. Al cambiar a HTTPS esas llamadas a APIs externos podrían dejar de funcionar.
  • Comprobar las hojas de estilos, scripts y recursos como imágenes, etc. Es probable que se deniegue la carga de un recurso HTTP si la página está sobre HTTPS. Si usas enlaces externos quita el protocolo (si soporta HTTPS) para que quede una URL así http://unapagina.com/api.js a //unapagina.com/api.js (la URL comienza por // para indicar que se use el mismo protocolo).

Mejoras en la configuración del servidor web

Yo te recomiendo, además de las comprobaciones anteriores, hacer las siguientes tareas:

  • Crear una regla de redirección en el servidor web (apache, nginx, etc) que redirija a los usuarios que accedan a través de HTTP a la misma URL usando HTTPS.
  • Una vez que compruebes que cada una de las secciones de tu web o aplicaciones funcionen, activar las cabeceras HSTS (HTTP Strict Transport Security) para que el cliente recuerde en un futuro que ni debe probar con HTTP la siguiente vez que entre a la web.

Pruebas previas

Si no dispones de un entorno de desarrollo donde hacer las pruebas siempre tienes la posibilidad de seguir estos pasos para probar cómo se comportará la web cuando actives HTTPS:

  • Instala un certificado autofirmado HTTPS. Dependiendo del sistema operativo y servidor web la complejidad podría variar considerablemente.
  • Aceptar la advertencia de seguridad en tu navegador la primera vez que accedas a tu sitio web con el nuevo certificado autofirmado.
  • Comprobar cada una de las secciones de la web poniendo especial atención a:
    • En ningún momento la URL pasa de HTTPS a HTTP (significaría que en algún lado se enlaza explícitamente a una URL HTTP o una aplicación tiene configurada una URL base HTTP).
    • Vigilar la consola de depuración de javascript (para abrir la consola de depuración de javascript puedes usar Control+Mayús+J en chrome, Control+Mayús+K en firefox y F12 en Windows Edge). Allí podrás ver si existen problemas de páginas no encontradas (error 404), accesos denegados, errores de servidor, errores de javascript o problemas de acceso por violación de orígenes, etc.
  • Comprobar que todos los recursos externos cargan (hojas de estilos, javascripts, imágenes, etc).
  • Comprobar que todas las APIs externas funcionan como se espera (mapas dinámicos de Google Maps, Anuncios, Traducción de página, etc).

Consideraciones finales

Es muy probable que la página funcione tal cual al activar HTTPS (sin hacer ningún cambio), pero que los buscadores tengan enlazados o los clientes tengan en favoritos las URL con HTTP, por lo que seguirás teniendo usuarios entrando por HTTP aunque tengas el servicio HTTPS activado.

Ésto se soluciona con la redirección HTTP -> HTTPS en el lado del servidor.

Es probable que recursos externos (como imágenes, hojas de estilos, scripts, etc) enlazados por HTTP dejen de funcionar porque el navegador se niegue a cargar recursos inseguros dentro de una página segura.

Se soluciona cambiando el enlace a su versión HTTPS o eliminando el esquema http: de la URL, pero es posible que el servidor que aloja dicho recurso no tenga HTTPS activado o lo tenga con un certificado inválido (autofirmado, por ejemplo) que siga impidiendo que se cargue. Contacta con el proveedor de dicho recurso en búsqueda de una solución o, si es un recurso estático, descárgalo (si tienes licencia o permiso para ello) y enlázalo en tu propio servidor.

Casi todas las aplicaciones web (foros, gestores de contenido, etc) tienen un panel de control en el que puedes activar diversos parámetros como el acceso HTTPS, forzar el uso de HTTPS, etc. Busca en la documentación del proveedor de dicha aplicación para consultar todo lo relacionado con el tema o contacta con su soporte para que te informen.

Cuando se usan algunas APIs (como Google Maps, contadores de visitas, anuncios publicitarios, etc) hay que autorizar explícitamente la/s URL/s que pueden hacer uso del API con determinada clave de API (API key). Algunas usan sólo nombre de dominio y son agnósticas al esquema usado (http: o https:) pero podría ser que otras APIs dejen de funcionar. De nuevo te recomiendo leer su documentación o revisar su configuración por si permiten activarlo o agregar dos URLs, con y sin HTTPS.

7
  • 1
    Gracias por la respuesta no se me había ocurrido nada de lo que comentas y al leerte me he asustado de todo lo que dices porque la web está hecha en Adobe Muse, que tiene no pocos scripts y cosas que funcionan de forma un tanto rara. el 4 may. 2017 a las 6:10
  • Siempre puedes activar HTTPS con un certificado autofirmado, aceptar la advertencia de seguridad en tu navegador, y comprobar si todo sigue funcionando correctamente. Te recomiendo abrir la consola de depuración de javascript (control + mayúsculas + J en chrome, control + mayúsculas + K en firefox y creo que F12 en Windows Edge) para ver si existen problemas de accesos denegados, errores de javascript o problemas de acceso por violación de orígenes, etc.. PD: Voy a agregar esto mismo a la respuesta. el 4 may. 2017 a las 6:14
  • Me das miedo, desconozco todos estos temas. el 4 may. 2017 a las 6:21
  • Ya está. Creo que lo más sencillo es que pruebes a instalar un certificado autofirmado (de pruebas), accedas por HTTPS, confirmes la excepción de seguridad (el uso de un certificado no válido), y compruebes que todo sigue funcionando una vez que accedas por HTTPS. Si algo falla o no funciona vuelve por aquí y preguntas cómo solucionarlo si no consigues hacerlo tú mismo. Déjame un comentario con la URL de la nueva pregunta para que la visite tan pronto como me llegue el aviso al móvil. el 4 may. 2017 a las 6:27
  • 1
    La respuesta esta curradísima. Te daría mas de un voto pero el sistema no lo permite. =) el 4 may. 2017 a las 7:56

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.