¿Qué es HTTPS? Cómo funciona y por qué importa

HTTPS es el tráfico web corriente (HTTP) transportado dentro de una conexión TLS cifrada y autenticada, de modo que lo que pasa entre tu navegador y un sitio web no lo puede leer ni alterar nadie que esté en la red entre medias. Es la diferencia entre enviar una postal y enviar una carta sellada, a prueba de manipulaciones y de un remitente verificado.

HTTP frente a HTTPS

El HTTP corriente lo envía todo como texto legible: las páginas que pides, los datos que escribes en los formularios, tus contraseñas, tus cookies de sesión. Cualquiera que pueda ver el camino de la red (alguien en la misma wifi pública, un router comprometido, un proveedor de internet, un atacante situado en medio) puede leerlo todo, y también cambiarlo antes de que te llegue. No hay ninguna protección.

HTTPS transporta ese mismo tráfico HTTP dentro de TLS (Transport Layer Security). Las señales visibles son el esquema «https://» y un candado, pero por debajo TLS añade tres garantías: confidencialidad (quien espía solo ve texto cifrado), integridad (cualquier manipulación en tránsito se detecta y se rechaza) y autenticación (un certificado demuestra que el servidor es quien dice ser). La ausencia de esas tres es exactamente lo que hace peligroso HTTP, y su presencia es todo el sentido de HTTPS.

Cómo cifra TLS la conexión

Cuando tu navegador abre una conexión HTTPS, las dos partes hacen un handshake TLS. A grandes rasgos, usan criptografía asimétrica y un intercambio de claves para autenticar al servidor y acordar un secreto compartido sin enviarlo nunca en claro; después derivan de él una clave de sesión simétrica rápida y la usan para cifrar el resto de la conversación. Este enfoque híbrido aprovecha las ventajas de confianza y de distribución de claves de la criptografía de clave pública para establecer la sesión, y la velocidad del cifrado simétrico para transportar los datos. Si quieres la mecánica de fondo, nuestra explicación sobre criptografía recorre con más detalle las claves simétricas, las asimétricas y el handshake.

La consecuencia práctica es que HTTPS derrota directamente el ataque de red clásico en el que alguien se sitúa entre tú y el servidor. Sin cifrado ni autenticación del servidor, un atacante intermediario puede leer y reescribir el tráfico en silencio; con un TLS bien validado no puede hacer ninguna de las dos cosas, porque no puede descifrar los datos ni presentar un certificado en el que confíe tu navegador.

Certificados y autoridades de certificación

La autenticación del servidor se basa en los certificados. Un certificado TLS vincula un nombre de dominio a una clave pública y lo firma una autoridad de certificación (CA), una organización en la que los navegadores y los sistemas operativos están configurados para confiar. Antes de emitir un certificado, la CA comprueba que el solicitante controla de verdad el dominio; después firma el certificado con su propia clave. Tu navegador acepta el certificado porque se encadena, a través de intermedias, hasta una CA raíz de confianza que ya está en su almacén de confianza, porque el nombre que figura en él coincide con el sitio que pediste y porque no ha caducado.

Por eso importan también los avisos del navegador. Un certificado caducado, uno autofirmado, uno para el dominio equivocado o uno de una CA no confiable rompen la cadena de confianza, y el navegador te detiene precisamente porque ya no puede demostrar quién está al otro lado. La confianza en una CA también puede retirarse: el compromiso de las CA intermedias de eMudhra de octubre de 2026 mostró a los navegadores revocando los certificados maliciosos en días mientras los servidores, los contenedores y los runtimes de los lenguajes seguían confiando en ellos. Las mismas firmas y los mismos certificados son los que dan su fuerza al no repudio.

Qué significa y qué no significa el candado

El candado se malinterpreta mucho. Significa que la conexión está cifrada y que el certificado es válido para ese dominio. No significa que el sitio sea honesto, de buena reputación o esté libre de malware. Los certificados validados por dominio son gratuitos y fáciles de conseguir, así que los atacantes ponen certificados válidos en sus sitios de phishing y de estafa como algo rutinario. Un candado en una página fraudulenta es completamente normal. Lee el candado como «nadie está espiando esta conexión», nunca como «esta organización es de fiar». Juzgar a la propia organización es otra cuestión, el tipo de cosa para la que sirve mejor una comprobación de reputación.

HTTPS en todas partes, HSTS y contenido mixto

La práctica actual es HTTPS para todo, no solo para las páginas de inicio de sesión y de pago. Tres piezas lo hacen robusto:

• Redirige HTTP a HTTPS. Cada petición en HTTP corriente debería redirigirse a su equivalente HTTPS para que no exista ninguna versión del sitio en texto claro que se pueda usar.
• Impón HSTS. La cabecera HTTP Strict Transport Security indica a los navegadores que usen siempre solo HTTPS para tu dominio durante un tiempo determinado, de modo que se nieguen a degradar la conexión aunque un enlace o un atacante intenten forzar HTTP. Así se cierra la pequeña ventana en la que podría interceptarse esa primera petición.
• Elimina el contenido mixto. Si una página HTTPS carga scripts, hojas de estilo o imágenes por HTTP corriente, esos recursos inseguros pueden interceptarse y comprometer toda la página, así que los navegadores los bloquean o avisan. Cada recurso que carga una página segura debe servirse también por HTTPS.

Por qué importa

Sin HTTPS, las credenciales y las cookies de sesión pueden robarse en cualquier red compartida u hostil, y las páginas pueden reescribirse en silencio para inyectar contenido o malware. Con él, la conexión es privada, deja rastro de cualquier manipulación y está ligada a la identidad verificada de un servidor. Por eso HTTPS es hoy obligatorio en la práctica para cualquier sitio, y por eso los navegadores marcan el HTTP corriente como «no seguro». Si construyes o revisas servicios web, imponer HTTPS de extremo a extremo es uno de los controles más baratos y de mayor efecto que tienes.

Preguntas frecuentes

¿Qué es HTTPS? HTTP transportado sobre una conexión TLS cifrada y autenticada, que aporta confidencialidad, integridad y autenticación del servidor al tráfico web.

¿En qué se diferencia de HTTP? HTTP lo envía todo como texto legible que cualquiera en el camino puede ver o alterar; HTTPS cifra ese mismo tráfico y demuestra la identidad del servidor con un certificado.

¿Qué es un certificado y quién lo emite? Un documento firmado que vincula un dominio a una clave pública, emitido por una autoridad de certificación tras verificar que el solicitante controla el dominio, y en el que se confía mediante una cadena hasta una CA raíz.

¿El candado significa que un sitio es seguro? No. Significa que la conexión está cifrada y el certificado es válido. Los atacantes también consiguen certificados válidos, así que no es una señal de confianza sobre la organización.

¿Qué son HSTS y el contenido mixto? HSTS obliga a los navegadores a usar solo HTTPS para un dominio; el contenido mixto es una página segura que carga recursos HTTP inseguros, que los navegadores bloquean o sobre los que avisan.