¿Qué es TLS y qué protege realmente el candado HTTPS?
Publicado el 2026-10-20 por frfrand
TLS explicado sin misterio: cómo HTTPS protege datos en tránsito, certificados, claves, autenticación y qué significa —y qué no— el candado del navegador.
TLS es un protocolo que ayuda a proteger la comunicación entre dos sistemas mediante cifrado, autenticación y controles de integridad. Es una de las tecnologías que permite que el navegador se conecte a una web por HTTPS sin enviar directamente contraseñas y datos sensibles como texto legible por cualquiera que observe el tráfico.
Pero tener HTTPS no significa que una página sea honesta ni que la aplicación sea invulnerable. Esa diferencia es fundamental.
El ejemplo de la carta cerrada
Imaginá que enviás una carta importante. Si la mandás abierta, varias personas durante el recorrido podrían leerla. Si la protegés en un sobre sellado y verificás correctamente a quién va dirigida, reducís algunos riesgos.
TLS utiliza mecanismos criptográficos mucho más complejos que un sobre, pero el objetivo de confidencialidad e integridad es comparable: dificultar que terceros lean o modifiquen la información mientras viaja.
El cifrado protege el tránsito de datos. Si el servidor tiene una base de datos expuesta, una contraseña robada o un problema en su aplicación, HTTPS no corrige esos fallos.
¿HTTPS y TLS son lo mismo?
No exactamente. HTTPS es HTTP transportado mediante una conexión protegida, normalmente TLS. HTTP define cómo se realizan solicitudes y respuestas web. TLS ayuda a asegurar el canal por el que circulan.
Por eso las conexiones a https:// indican una forma de transporte seguro hacia el servidor, no una evaluación general de la calidad de la página.
¿Para qué sirve un certificado?
Cuando un navegador se conecta a un dominio, debe comprobar que está hablando con el servidor correcto. Un certificado digital permite vincular información sobre una identidad —como un nombre de dominio— con una clave pública, siguiendo el sistema de confianza empleado por el navegador.
Las autoridades de certificación emiten certificados después de realizar comprobaciones. El navegador valida la cadena de confianza, el dominio y otras condiciones relevantes.
Un certificado válido para ejemplo.com no implica que todos sus productos, formularios o empleados sean confiables. Certifica propiedades de la conexión y la identidad representada, no las intenciones del propietario.
¿Qué pasa cuando abrís una web HTTPS?
En términos generales, el navegador y el servidor negocian parámetros seguros, utilizan criptografía para establecer secretos de sesión y después intercambian información protegida.
Las versiones modernas de TLS están diseñadas para evitar muchos problemas de protocolos antiguos. Mantener versiones y configuraciones seguras es tarea del servidor y de los componentes que terminan la conexión.
No hace falta memorizar todos los mensajes del intercambio para comprender la consecuencia: la información no debería circular en claro por la red de la misma manera que lo haría mediante una conexión HTTP sin protección.
¿Dónde termina el cifrado?
Esta pregunta es especialmente importante cuando utilizás un balanceador o proxy. TLS puede terminar en el proxy y la conexión hacia el backend puede utilizar otra conexión protegida o una red interna con un diseño distinto.
La seguridad real depende de todo el camino. No alcanza con ver un candado en el navegador si después enviás credenciales por una red interna que no está adecuadamente protegida.
¿Qué significa el candado del navegador?
En términos prácticos, el navegador indica que está usando una conexión segura según sus comprobaciones. No garantiza que la página no sea una estafa.
Una web de phishing puede obtener un certificado TLS válido y mostrar HTTPS. Siempre revisá el dominio, especialmente cuando recibís enlaces inesperados que pidan iniciar sesión o efectuar un pago.
¿Cuándo debo renovar un certificado?
Los certificados tienen un período de validez. Si caducan, los navegadores pueden mostrar advertencias y dificultar el acceso normal al sitio.
Herramientas como Certbot y servicios de certificados automatizados facilitan la emisión y renovación, pero conviene supervisar fechas, DNS y errores. Una renovación automática que falle en silencio puede convertirse en una caída pública.
TLS no reemplaza todo lo demás
Sigue usando consultas parametrizadas, permisos adecuados, actualizaciones, copias de seguridad y protección de cuentas. La confidencialidad del transporte no impide que una aplicación entregue información a un usuario que no debería tener acceso.
¿Cómo se aplica en ArduMaker?
Al publicar aplicaciones web desde VPS gestionados en ArduMaker, el dominio, el proxy y el servicio de destino deben tener un diseño HTTPS correcto. Un certificado protege la conexión en el punto donde se utiliza; no reemplaza la seguridad del backend.
En una frase: TLS protege la conversación entre sistemas, pero no certifica que todo lo que ocurre dentro de ellos sea seguro.
Fuentes: Especificación TLS 1.3 · Introducción a TLS de MDN · Publicar un dominio HTTPS en ArduMaker.