Checklist de criptoagilidad y preparación poscuántica
Puntúa tu inventario criptográfico (CBOM), la agilidad de algoritmos, la reducción de la vida de los certificados y la migración PQC, con brechas priorizadas.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Dos fuerzas están a punto de obligar a mover tu criptografía: la vida de los certificados TLS se reduce hacia unos 47 días en 2029, y los estándares poscuánticos que NIST finalizó en agosto de 2024 (ML-KEM, ML-DSA y SLH-DSA) acabarán sustituyendo a los algoritmos actuales. Ambas premian la misma capacidad, la criptoagilidad: saber dónde vive cada algoritmo, clave y certificado y poder cambiarlo sin rehacer la arquitectura. Esta checklist puntuada, 100 % en el navegador, recorre el inventario criptográfico (CBOM), la agilidad de algoritmos, la reducción de la vida de los certificados y la automatización, y la migración PQC, y te da una puntuación ponderada de 0 a 100 con las brechas ordenadas para que empieces por lo que más importa. El inventario es lo que más pesa: no puedes migrar lo que no ves. El riesgo a corto plazo es «recolectar ahora, descifrar después»: los datos capturados hoy podrán descifrarse cuando lleguen los ordenadores cuánticos, así que los secretos de larga vida necesitan protección ya. No se sube nada y puedes exportar a Markdown o CSV. Es una autoevaluación formativa, no una certificación ni asesoramiento legal; las fechas y los estándares citados son orientativos y deben contrastarse con los requisitos vigentes. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Responde los elementos de las cuatro áreas: inventario criptográfico (CBOM), agilidad de algoritmos, reducción de la vida de los certificados y automatización, y migración PQC.
- Revisa tu puntuación ponderada de 0 a 100.
- Trabaja las brechas en el orden priorizado, empezando por el inventario.
- Exporta el resultado a Markdown o CSV.
Preguntas frecuentes
¿Qué es la criptoagilidad?
La criptoagilidad es la capacidad de cambiar algoritmos criptográficos, tamaños de clave y protocolos con rapidez y con la mínima interrupción. En la práctica significa que la elección de algoritmos se hace por configuración y no está codificada en el programa, que las aplicaciones llaman a una librería o servicio criptográfico central en lugar de incrustar cada una sus propias primitivas, y que los protocolos negocian los algoritmos (como hace TLS 1.3) para que los extremos puedan migrar de forma independiente. La prueba decisiva es si de verdad has ensayado un cambio: muchas organizaciones creen ser ágiles hasta que una migración forzosa demuestra lo contrario. La agilidad es lo que convierte la futura migración a algoritmos poscuánticos, o la retirada urgente de un algoritmo roto, en un cambio rutinario en lugar de en una reestructuración de varios años.
¿Qué es un CBOM y por qué el inventario va primero?
Un CBOM (cryptographic bill of materials, lista de materiales criptográficos) es un inventario de todos los activos criptográficos de tu entorno: algoritmos, tamaños de clave, certificados, protocolos y dónde vive cada uno, en tu propio código, en librerías de terceros, en hardware, en appliances y en integraciones con proveedores. Va primero porque todos los pasos posteriores dependen de él: no puedes retirar algoritmos débiles (RSA-1024, SHA-1, 3DES, RC4), planificar la reducción de la vida de los certificados ni secuenciar una migración poscuántica si no sabes dónde está tu criptografía. CycloneDX ha ampliado el formato SBOM para expresar un CBOM. Precisamente por eso el inventario es lo que más pesa en esta checklist.
¿Qué son los estándares poscuánticos (PQC) de NIST y qué es «recolectar ahora, descifrar después»?
En agosto de 2024, NIST finalizó tres estándares de criptografía poscuántica: FIPS 203 (ML-KEM, un mecanismo de encapsulación de claves para el intercambio de claves, basado en CRYSTALS-Kyber), FIPS 204 (ML-DSA, un algoritmo de firma digital basado en CRYSTALS-Dilithium) y FIPS 205 (SLH-DSA, un esquema de firma sin estado basado en hashes, derivado de SPHINCS+). Están diseñados para resistir el ataque de un futuro ordenador cuántico criptográficamente relevante. «Recolectar ahora, descifrar después» (harvest-now, decrypt-later) es el motivo a corto plazo: un adversario puede capturar hoy tráfico cifrado y guardarlo hasta que los ordenadores cuánticos puedan romper el intercambio de claves clásico que lo protegía. Así que cualquier dato cuya confidencialidad deba durar años (secretos de larga vida, registros archivados) está en riesgo en la práctica ya hoy, y por eso los canales sensibles son los primeros candidatos al intercambio de claves híbrido (un algoritmo clásico combinado con ML-KEM).
¿Por qué se acorta la vida de los certificados y qué es la cifra de unos 47 días?
En 2025, el CA/Browser Forum adoptó una propuesta que reduce progresivamente la vida máxima de los certificados TLS públicos hasta unos 47 días en 2029 (desde los 398 días actuales, mediante reducciones escalonadas). Las vidas más cortas limitan cuánto tiempo sigue siendo de confianza un certificado mal emitido o comprometido y obligan a automatizar. La consecuencia práctica es que la renovación manual deja de ser viable: necesitas ACME o una automatización equivalente, un monitoreo centralizado de caducidades que avise del plazo de renovación y la capacidad de forzar una reemisión en todo el parque sin un simulacro de incendio. Esa misma automatización es lo que hace sostenible una migración poscuántica, que en el fondo es una reemisión enorme. Es una autoevaluación formativa y no asesoramiento legal ni de cumplimiento; comprueba las fechas exactas con los requisitos vigentes del CA/Browser Forum para tu caso.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.