Auditar configuraciones y certificados

La primera pregunta de una auditoría de configuración es contra qué se compara. La respuesta honesta tiene dos fuentes: lo que la empresa dijo que haría (su política, sus estándares internos) y una referencia externa reconocida. Cuando lo efectivo no cumple la política propia, el hallazgo es difícil de discutir: nadie puede decir que el auditor es más estricto que la casa.

Por eso la exportación de la configuración efectiva se lee junto a la política, línea a línea. La política de Cenzontle está en politica-tls.conf; lo que realmente aceptan sus servicios está en tls-efectivo.txt.

Una política que dice «TLS 1.2 como mínimo» no apaga nada por sí sola. Los protocolos viejos suelen seguir habilitados en un servicio porque alguien los activó para un cliente antiguo y nunca los quitó, o porque el valor por defecto de la plataforma los dejaba. La política y la máquina se desalinean sin que nadie lo decida.

Compara el mínimo de la política con la lista de protocolos de cada host en la exportación.

Un certificado vale para los nombres que lista en su campo de nombres alternativos, no para el nombre del equipo donde está instalado. Si el nombre con el que los clientes llegan no aparece en ese campo, la validación falla, o peor, alguien «resuelve» el aviso apagando la validación en el cliente.

Para cada fila del inventario hay que preguntarse si el host de la primera columna aparece entre los nombres de la segunda. Abre certificados.txt y recórrelo fila a fila.

La caducidad es un dato que se calcula: la fecha de la auditoría y la fecha de vencimiento dan los días que quedan. Es de las pocas medidas de criptografía que cualquiera puede comprobar con una resta, y de las que más cortes de servicio evitables provocan.

La exportación está fechada el 2026-10-05. Mira la columna de caducidad de todos los hosts y quédate con el que antes vence.

La política de Cenzontle pide avisar de la caducidad con 30 días de antelación. El certificado que antes vence lo hará en menos de ese plazo, y eso dice algo más que «hay que renovar»: o el aviso no existe, o suena y nadie lo atiende. El fallo es de proceso, no de criptografía.

El informe lo refleja con dos acciones distintas: renovar el certificado y revisar por qué el aviso de 30 días no actuó.