El candado del navegador: qué garantiza HTTPS y qué no

Durante años nos enseñaron una regla sencilla: “si sale el candado, la página es segura”.

La regla era mala entonces y hoy es directamente peligrosa. Los sitios fraudulentos también tienen candado — la gran mayoría, de hecho, porque conseguirlo es gratis y automático.

El candado sí significa algo importante. Pero significa una cosa muy concreta, y no es “esta web es de fiar”.

Lo que HTTPS garantiza

Tres cosas, ni una más:

Que nadie puede leer lo que envías por el camino. Tu contraseña, el número de tarjeta, lo que escribes en un formulario: viaja cifrado. Ni tu operador, ni el dueño del WiFi de la cafetería, ni nadie que intercepte el tráfico puede ver el contenido.

Que nadie puede modificarlo por el camino. Si alguien altera un solo byte, el navegador lo detecta y corta la conexión. Antes de HTTPS era habitual que algunos proveedores inyectaran publicidad en las páginas que servían.

Que estás hablando con el servidor del dominio que aparece en la barra. Si pone mibanco.com, el certificado prueba que ese servidor controla mibanco.com.

Esa última línea es la que hay que leer con cuidado.

Lo que no garantiza

No dice que la web sea honesta. Un certificado prueba el control de un dominio, no las intenciones de quien lo controla. Una tienda fraudulenta puede sacar un certificado válido para su dominio en cinco minutos y sin coste.

No dice que el dominio sea el que crees. Aquí está el truco de casi todas las estafas. mibanco-seguro.com, mi-banco.com o mibanco.com.verificacion-cuenta.net pueden tener candado perfectamente válido. El candado confirma que estás hablando con ese dominio; no que ese dominio sea tu banco.

No dice nada de lo que pasa después. Los datos llegan cifrados al servidor. Qué hace el servidor con ellos —guardarlos sin cifrar, venderlos, perderlos en una brecha— queda completamente fuera del alcance de HTTPS.

No oculta a dónde vas. El contenido va cifrado, pero el nombre del dominio es visible para tu proveedor de internet. Saben que entraste a un sitio; no qué hiciste dentro.

Por qué cambió el panorama

Hasta 2015, un certificado costaba dinero y había que renovarlo a mano. Eso hacía que muchos sitios legítimos pequeños no lo tuvieran, y que los fraudulentos tampoco se molestaran. En ese contexto, el candado sí era una señal aproximada de seriedad.

Entonces apareció Let’s Encrypt, una autoridad certificadora gratuita y automatizada. Fue una excelente noticia: hoy prácticamente toda la web va cifrada, que es como debe ser.

Pero tuvo un efecto secundario. Al volverse gratis y automático para todos, el candado dejó de distinguir entre sitios buenos y malos. Hoy la inmensa mayoría de páginas de phishing lo tienen.

El consejo “busca el candado” quedó obsoleto y nadie lo actualizó.

Lo que sí hay que mirar

El dominio, leído de derecha a izquierda. Esta es la parte que casi nadie sabe. En una dirección, el dominio real es lo que está justo antes de la primera barra:

https://mibanco.com.verificacion.es/login
                           ↑
                    el dominio real es verificacion.es

Todo lo que va antes son subdominios que puede inventarse cualquiera. Localiza la primera barra, retrocede hasta el punto anterior, y eso es con quién estás hablando de verdad.

Cómo llegaste. Un enlace de un correo o un SMS es la vía habitual del fraude. Si el mensaje te apura —“tu cuenta será bloqueada en 24 horas”— la prisa es parte del método. Escribe la dirección tú mismo o usa tu marcador de siempre.

Los caracteres parecidos. Existen dominios que usan letras de otros alfabetos visualmente idénticas a las latinas. Los navegadores modernos avisan, pero no siempre.

La coherencia. Faltas de ortografía, un diseño casi idéntico pero con detalles raros, una forma de pago inhabitual, precios imposibles.

Los avisos que sí importan

Cuando el navegador dice “La conexión no es privada” o “Certificado no válido”, hazle caso. Eso no es el caso de un sitio sin cifrar: es un cifrado que falla, y las causas posibles incluyen que alguien esté interceptando la conexión.

La excepción inocente es la fecha: si el reloj de tu ordenador está mal, todos los certificados parecen caducados. Merece la pena comprobarlo antes de alarmarse.

Nunca pulses “continuar de todos modos” en una página donde vayas a escribir una contraseña o pagar.

Qué desapareció y por qué

Puede que recuerdes barras verdes con el nombre de la empresa. Eran los certificados de validación extendida, que exigían comprobar la existencia legal de la organización.

Los navegadores los retiraron alrededor de 2019. La razón fue práctica: los estudios mostraron que los usuarios no se fijaban en ellos, y que era posible registrar empresas con nombres confusos para conseguir uno. Una señal que nadie mira y que se puede imitar no es una señal de seguridad.

En una frase

HTTPS protege el camino, no el destino.

Garantiza que lo que envías llega intacto y en secreto al servidor que dice ese dominio. No opina sobre si ese servidor merece tus datos. Esa evaluación sigue siendo tuya, y empieza por leer el dominio con atención.