Cuadro de preparación ante el compromiso de una CA
Autoevaluación en el navegador de tu preparación ante el compromiso de la clave privada de una autoridad de certificación o una CA intermedia: puntuación de 0 a 100 y brechas priorizadas.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Una autoridad de certificación en la que confías queda comprometida: la forma genérica del incidente de las CA intermedias de eMudhra de octubre de 2026. Los navegadores quedaron protegidos en días gracias a la revocación, pero los clientes que no son navegadores (curl, los almacenes de confianza de los lenguajes, los contenedores, los appliances) siguieron confiando en las intermedias comprometidas hasta que se publicó una actualización de software o de ca-certificates. Esta autoevaluación previa al incidente, que funciona por completo en el navegador, te hace recorrer una lista de comprobación de las siete áreas de control que deciden si eso es una desconfianza rápida en toda la flota o una carrera lenta y a ciegas: inventario de CA y certificados, consumo de la revocación en los distintos tipos de cliente, agilidad del almacén de confianza y desconfianza en toda la flota, ciclo de vida y automatización de certificados, monitoreo y detección, pinning y defensa en profundidad, y respuesta a incidentes y dependencias. Obtienes una puntuación de preparación de 0 a 100 por bandas y las brechas ordenadas para que corrijas primero las que más reducen el radio de impacto. La ponderación es una heurística transparente, no se sube nada ni se ejecuta ningún escaneo, y la puntuación se comparte con un enlace permanente. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Responde la lista de comprobación de las siete áreas de control ponderadas.
- Revisa tu puntuación de preparación de 0 a 100 por bandas y el radar de puntos fuertes y débiles.
- Trabaja las brechas en el orden propuesto: primero las de menor puntuación y mayor peso, cada una con una acción concreta.
- Exporta a Markdown o CSV, o comparte el cuadro exacto con un enlace permanente (tus respuestas van codificadas en el enlace, en base64url).
Preguntas frecuentes
¿Qué es el compromiso de una CA (autoridad de certificación)?
Una autoridad de certificación es una organización cuyas claves privadas firman los certificados que permiten a los clientes verificar que un servidor es quien dice ser. Un compromiso de CA ocurre cuando un atacante obtiene el control de la clave privada de una CA (o de una CA intermedia) y puede emitir certificados en los que los clientes confiarán. La respuesta es la revocación: decir a los clientes que dejen de confiar en esa CA. El incidente de eMudhra de octubre de 2026 es el caso genérico que modela este cuadro: las claves privadas de ocho CA intermedias de eMudhra quedaron comprometidas, se divulgó de forma responsable y hubo que retirarles la confianza en todo el ecosistema.
¿Por qué la revocación no resolvió del todo el incidente de eMudhra?
Porque la revocación solo protege a los clientes que de verdad la consumen. Los navegadores principales quedaron protegidos rápido mediante mecanismos del lado del navegador: OneCRL y CRLite de Mozilla, CRLSets de Chrome y la revocación de Apple y Microsoft. Pero esos mecanismos son del navegador y no llegan a los demás clientes. Herramientas como curl verificando contra un cert.pem estático, los almacenes de confianza de los lenguajes (certifi de Python, Go, cacerts de la JVM, webpki de Rust), las imágenes base de contenedores, los appliances y el IoT siguieron confiando en las intermedias comprometidas hasta que se actualizó su propio paquete de confianza, normalmente el paquete ca-certificates del sistema o una actualización de software. La brecha de preparación no es si una CA puede revocarse, sino si puedes llevar esa desconfianza rápido a todos los sitios donde confías en ella.
¿Cómo sé si mis clientes siguen confiando en una CA revocada?
Empieza por inventariar dónde confías en CA: el paquete del sistema operativo es solo una parte. Los almacenes de confianza de las aplicaciones y los lenguajes (certifi, cacerts, archivos PEM empaquetados), las imágenes de contenedores, los appliances y el IoT tienen cada uno el suyo. Después clasifica esos clientes según consuman o no la revocación: un cliente que solo verifica contra un paquete estático sin comprobación OCSP ni CRL seguirá confiando en una CA revocada hasta que se actualice ese paquete. El monitoreo de Certificate Transparency y el registro centralizado de los fallos de validación TLS te ayudan a ver las emisiones y los fallos. Este cuadro te guía por esas comprobaciones; no hace ningún escaneo.
¿Es asesoramiento legal o de seguridad, o una certificación?
No. Es una autoevaluación educativa y una heurística transparente para la reflexión estructurada, no una auditoría de seguridad, una certificación, una prueba de penetración ni asesoramiento legal, y no escanea ni toca ningún sistema. Los pesos de las dimensiones reflejan la lección de un incidente al estilo de eMudhra (el inventario, el consumo de la revocación y la agilidad del almacén de confianza son lo que más importa) y se muestran abiertamente para que puedas ajustarlos a tu entorno. PlayCISO no está afiliado a eMudhra, Mozilla, Google, Apple, Microsoft ni a ninguna autoridad de certificación, y no cita cifras inventadas de brechas ni de sitios afectados.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.