Certificados, TLS y cabeceras de seguridad

La cabecera strict-transport-security, conocida como HSTS, le indica al navegador que ese sitio solo debe visitarse por HTTPS durante un tiempo, que da el valor max-age en segundos, y opcionalmente que la regla alcanza a los subdominios. Después de recibirla, el navegador convierte por sí mismo cualquier intento de entrar por HTTP en HTTPS, sin hacer la petición insegura.

Protege contra la degradación a una conexión sin cifrar la segunda vez que alguien visita el sitio. La primera visita, antes de recibir la cabecera, queda fuera de esa protección, y por eso existen las listas de precarga de los navegadores.

Un certificado tiene una fecha de vencimiento y la primera comprobación de higiene es cuántos días faltan. Lo que más daño hace no es el certificado que vence en un año, sino el que vence pronto y no se renueva solo. La columna de renovación automática lo separa: los que dicen no dependen de que alguien se acuerde.

El día de la revisión está en el encargo. La resta se hace con las fechas completas, contando los días del mes.

Los protocolos TLS antiguos tienen debilidades conocidas y los navegadores actuales ya no los usan. Aceptarlos en una escucha facilita ataques de degradación y puede ir contra lo que los estándares de seguridad de datos de tarjetas de pago esperan de una escucha de cobros. La versión mínima de cada escucha dice hasta dónde se está dispuesto a retroceder.

Revisa escuchas-tls.json: la política más débil suele estar en el sitio donde menos se mira, aunque sea el de los pagos.

Además de HSTS, existen cabeceras que apagan comportamientos peligrosos del navegador. La política de seguridad de contenido, content-security-policy, limita desde dónde puede cargar scripts y recursos una página. La política de referente, referrer-policy, controla cuánta dirección de origen se envía al seguir un enlace. Hay otras que cierran caminos más específicos, y que se aplican igual en el CDN para todo el sitio.

Para encontrar una ausencia, lo más práctico es comparar con una referencia: el sitio de pruebas de Carambolo tiene el conjunto completo, y la tienda en producción debería tenerlo igual.

El certificado de pagos vence pronto, no se renueva automáticamente y está en un balanceador cuya escucha además acepta una versión antigua de TLS. Es una combinación frecuente: lo que no se revisa tiene varios problemas a la vez. La corrección de fondo es renovar y activar la renovación automática, para que el próximo vencimiento no dependa de la memoria de nadie.

Es también el momento de subir la versión mínima y de añadir una alarma por vencimiento próximo, con antelación suficiente para actuar.