El candado, y lo que no significa

Cuando una conexión va cifrada, el candado del navegador dice que se cumplen tres cosas, y conviene saber cuáles:

Nadie de en medio puede leer. Lo que viaja entre tu navegador y el servidor es ilegible para el wifi de la cafetería, para tu proveedor y para quien esté escuchando. Lo viste en el visor: las filas del 443 dicen «tráfico cifrado» y nada más.

Nadie de en medio puede cambiarlo. No solo no lo leen: tampoco pueden alterarlo sin que se note. Eso es tan importante como lo primero, y casi nadie lo menciona — sin esto, alguien podría inyectar contenido en una página que tú pediste.

El servidor es quien dice ser. El certificado lo demuestra, firmado por una autoridad en la que tu navegador confía. Es lo que impide el engaño de la sala del DNS.

Tres garantías: confidencialidad, integridad y autenticidad del servidor. Fíjate en que las dos primeras son dos patas de la tríada que aprendiste en el módulo 1, aplicadas al transporte.

Aquí está el malentendido que hay que romper, porque cuesta dinero a mucha gente:

El candado NO dice que el sitio sea honesto. Un sitio fraudulento puede tener un certificado válido en cinco minutos y gratis. Hoy la mayoría de las páginas de estafa tienen candado, precisamente porque a la gente le enseñaron que el candado significa seguro.

El candado NO dice que el sitio sea el que buscabas. Dice que la conexión con clinica-meridiano.local es auténtica. Si ese nombre no es el de la clínica sino uno parecido —con una letra cambiada— el certificado es perfectamente válido para el sitio del impostor.

El candado NO protege lo que pasa en el servidor. Todo lo que has visto en este módulo —la agenda sin control de acceso, el número que se puede cambiar, la inyección— pasa dentro, después de que el túnel termine. El cifrado protege el camino, no el destino.

Dicho corto, y con esto se resuelve casi cualquier duda:

El candado protege el trayecto. No dice nada de quién te espera al final.

El fallo de la clínica habría existido exactamente igual con candado. De hecho, en un sitio real lo habría tenido.

Empezaste este módulo sabiendo que existían el 200 y el 404 porque los habías visto pasar. Terminas con la conversación entera:

Cómo se pide y cómo se responde. Método, ruta, código. Toda la web son dos turnos repetidos.

Por qué el servidor no te recuerda, y qué consecuencia tiene: la comprobación se hace en cada petición, y quien roba el papelito es tú.

De dónde vienen los datos que un desconocido controla — que son cuatro sitios, no uno.

Las cinco familias de fallo y las cuatro preguntas que las encuentran.

Y qué protege el cifrado, que es el trayecto y nada más.

Con eso puedes hacer algo que no podías al empezar: mirar una página web y preguntarte las cosas correctas. No encontrarás todo — nadie lo hace — pero ya no dependes de que una herramienta te avise.

Lo que viene es dónde viven los datos que esas páginas muestran, y por qué la petición que los trae es otro de los sitios donde más cosas se rompen.