Certificado autofirmado
Certificado SSL que el propio servidor genera y firma a sí mismo, sin una autoridad certificadora reconocida: el navegador no lo confía y muestra advertencia.
Qué es Certificado autofirmado
Un certificado autofirmado lo crea quien gestiona el servidor usando su propia clave, sin pasar por una autoridad certificadora (CA) de confianza pública. Técnicamente cifra la conexión igual que cualquier otro, pero como ninguna entidad reconocida garantiza la identidad, los navegadores lo rechazan con un aviso de "conexión no privada".
Cómo funciona
Se genera con herramientas como OpenSSL: una clave privada y un certificado que esa misma clave firma. El servidor lo presenta; el navegador comprueba si la firma proviene de una CA de su lista de confianza, no la encuentra, y avisa. Se puede "aceptar la excepción" manualmente o instalar el certificado como confiable en el dispositivo.
Cómo protegerte
No los uses en webs públicas: el aviso espanta usuarios y acostumbra a la gente a ignorar advertencias (peligroso). Su sitio legítimo es el desarrollo local, redes internas o equipos de prueba. Para producción, usa un certificado de una CA reconocida (Let's Encrypt es gratis).
Datos curiosos
- El cifrado es el mismo; lo que falla es la cadena de confianza.
- En entornos internos, las empresas montan su propia CA "raíz privada" y la instalan en sus equipos para que no salten avisos.
- Hacer clic en "continuar de todos modos" ante uno de estos avisos en internet abierto es arriesgado: podría ser un atacante.
Preguntas frecuentes
¿Es inseguro un sitio con certificado autofirmado?
El cifrado funciona, pero no puedes verificar con quién hablas: podría haber un impostor. En internet abierto, no te fíes.
¿Por qué algunos servicios internos lo usan?
Por comodidad y coste cero. En una red controlada, instalan su propia CA para evitar avisos.
¿Debo "aceptar la excepción"?
Solo si sabes exactamente qué servidor es y por qué (tu router, un dispositivo de tu red). En una web pública, no.