La seguridad es un factor de importancia crítica en el éxito de cualquier sitio web. Esto es especialmente cierto para los sitios que necesitan recopilar PIA, o "información de identificación personal", de los visitantes. Piense en un sitio que requiera que ingrese un número de seguro social o, más comúnmente, un sitio de comercio electrónico al que deba agregar información de la tarjeta de crédito para completar su compra. En sitios como estos, la seguridad no solo se espera de esos visitantes, es esencial para el éxito.
Cuando está creando un sitio de comercio electrónico, una de las primeras cosas que deberá configurar es un certificado de seguridad para que los datos de su servidor estén seguros. Cuando configura esto, tiene la opción de crear un certificado autofirmado o crear un certificado aprobado por una autoridad de certificación. Echemos un vistazo a las diferencias entre estos dos enfoques para certificados de seguridad de sitios web.
Similitudes entre certificados firmados y autofirmados
Ya sea que obtenga su certificado firmado por una autoridad de certificación o lo firme usted mismo, hay una cosa que es exactamente lo mismo en ambos:
- Ambos certificados generarán un sitio que no puede ser leído por terceros. Los datos se envían a través de una conexión HTTPS o SSL, y se cifrarán independientemente de si el certificado está firmado o autofirmado.
En otras palabras, ambos tipos de certificados cifrarán los datos para crear un sitio web seguro. Desde una perspectiva de seguridad digital, este es el paso 1 del proceso.
Por qué pagarías a una autoridad de certificación
Una autoridad de certificación le dice a sus clientes que esta información del servidor ha sido verificada por una fuente confiable y no solo la compañía propietaria del sitio web. Básicamente, hay una compañía de terceros que ha verificado la información de seguridad.
Una Autoridad de Certificación de uso común es Verisign. Dependiendo de qué CA se utiliza, el dominio se verifica y se emite un certificado. Verisign y otras CA confiables verificarán la existencia de la empresa en cuestión y la propiedad del dominio para proporcionar un poco más de seguridad que el sitio en cuestión es legítimo.
El problema con el uso de un certificado autofirmado es que casi todos los navegadores web comprueban que una CA reconocida firma una conexión https. Si la conexión es autofirmada, esto se marcará como potencialmente riesgoso y aparecerán mensajes de error que alientan a sus clientes a no confiar en el sitio, incluso si es seguro.
Uso de un certificado autofirmado
Ya que brindan la misma protección, puede usar un certificado autofirmado en cualquier lugar en el que usaría un certificado firmado, pero algunos lugares funcionan mejor que otros.
Los certificados autofirmados son excelentes para probar servidores. Si está creando un sitio web que necesita probar a través de una conexión https, no tiene que pagar por un certificado firmado para ese sitio de desarrollo (que probablemente sea un recurso interno). Solo debe informar a sus evaluadores que su navegador puede mostrar mensajes de advertencia.
También puede usar certificados autofirmados para situaciones que requieren privacidad, pero es posible que las personas no estén tan preocupadas. Por ejemplo:
- Formularios de nombre de usuario y contraseña
- Recopilación de información PIA personal, pero no financiera.
- En formularios donde los únicos usuarios son personas que lo conocen y confían en usted, como una Intranet de la compañía.
Todo se reduce a la confianza. Cuando utiliza un certificado autofirmado, está diciendo a sus clientes "confíe en mí, soy quien digo que soy". Cuando utiliza un certificado firmado por una CA, está diciendo: "Confíe en mí: Verisign acepta que soy quien digo que soy". Si su sitio está abierto al público y usted está tratando de hacer negocios con ellos, este último es un argumento mucho más sólido que formular.
Si está haciendo comercio electrónico, necesita un certificado firmado
Es posible que sus clientes lo perdonen por un certificado autofirmado si solo lo utilizan para iniciar sesión en su sitio web, pero si les pide que ingresen su información de tarjeta de crédito o Paypal, entonces realmente necesita una firma. certificado. La mayoría de las personas confían en los certificados firmados y no harán negocios con un servidor HTTPS sin uno. Entonces, si está intentando vender algo en su sitio web, invierta en ese certificado. Es parte del costo de hacer negocios y participar en ventas en línea.
