Qué hace una autoridad de certificación interna

Una autoridad de certificación interna hace una sola cosa: recibe una solicitud, comprueba lo que su configuración le manda comprobar y firma un certificado. El certificado dice «esta clave pertenece a este titular» y lleva la firma de la autoridad. Como el certificado de esa autoridad está instalado en todos los equipos del dominio, lo que ella firma lo creen todos sin preguntar más.

Eso convierte a la autoridad en una pieza de identidad, no de cifrado. Un certificado con el uso adecuado vale para presentarse ante un controlador de dominio igual que vale una contraseña, y a veces mejor: dura años, no se rota cuando se cambian las claves y no aparece en los listados de contraseñas débiles. Por eso un evaluador que encuentra una autoridad interna mal configurada la sube de categoría: no es «un servicio más de la red», es la máquina que decide quién es quién.

La estructura habitual son dos niveles. Una autoridad raíz firma a una o varias emisoras y después se apaga; las emisoras son las que atienden el día a día. Lo que se evalúa es casi siempre la emisora: es la que publica plantillas, la que recibe solicitudes y la que deja registro.

En la exportación del encargo GUA-PT-07 aparecen tres autoridades. Dos no reciben solicitudes: una vive apagada entre ceremonias y otra se retiró hace años, aunque su certificado siga en el almacén de confianza de los equipos. La que importa para el encargo es la que está en línea.

Abre el laboratorio y mira la tabla autoridades entera antes de filtrar: las columnas de papel, estado y vigencia explican por qué cada una está como está.

Un certificado no sirve para todo: lleva escrito para qué vale. La autoridad de Guateque sabe otorgar cinco usos, y solo uno de ellos convierte el certificado en una forma de presentarse ante el dominio. Los demás sirven para que el navegador compruebe un servidor, para firmar correo, para cifrar archivos del propio perfil o para pedir certificados en nombre de otra persona.

Esa distinción es la que ordena el resto del módulo. Cuando en la sala siguiente se lea la lista de plantillas, lo primero que se mirará de cada una es si incluye ese uso.

La cláusula de método del encargo decide la forma de trabajar del módulo entero. Léela antes de proponerle nada al cliente: marca la diferencia entre un hallazgo que se sostiene y una recomendación que el cliente no puede aceptar porque nadie autorizó esa prueba.