Fijar certificados o claves: qué protege y cuánto cuesta mantenerlo

La validación normal confía en cualquier autoridad de certificación que el dispositivo tenga como raíz: son cientos. Si una de ellas emite por error o por abuso un certificado para tu dominio, la validación normal lo acepta. La fijación acota esa confianza a lo que la app espera, y por eso protege contra ese escenario, que es raro pero grave, sobre todo en aplicaciones con datos delicados.

Lo que no hace es sustituir a la validación. Una app con fijación sigue necesitando TLS vigente, nombres correctos y una configuración de red sana; la fijación es una capa añadida, con costo de mantenimiento, y no un parche para cubrir una base débil.

El informe del incidente cuenta la historia que justifica esta sala. La versión 2.3 fijaba el certificado de hoja, el que se renueva cada 90 días, y no llevaba pin de respaldo ni fecha de expiración. Cuando el certificado se renovó con clave nueva, la app dejó de reconocerlo y todos sus usuarios perdieron la conexión durante tres días, hasta publicar una versión corregida.

El valor de leer un informe así es sacar el dato exacto: qué estaba fijado y por qué esa decisión no sobrevivía a una renovación normal.

La versión actual fija la clave del intermedio, lleva un pin de respaldo ya generado y declara una fecha de expiración del conjunto de pines. Esa fecha es un seguro: pasada, la app deja de aplicar la fijación y valida con las reglas normales, de modo que una versión olvidada en el bolsillo de un usuario no se queda sin conexión para siempre. El costo es que hay un día a partir del cual la protección extra se apaga si nadie publicó una versión nueva.

Por eso el plazo se calcula y se pone en el calendario: cuántos días quedan, desde el corte del calendario, hasta la expiración del conjunto de pines de la API.

Alguien de la gerencia propone volver a fijar el certificado de hoja de la API «porque es más estrecho y por tanto más seguro». Es verdad que es más estrecho, y es justo lo que causó el incidente: la hoja se renueva cada 90 días con clave nueva y la app tendría que publicarse antes de cada renovación. La tabla de opciones lo dice: cuanto más estrecha la fijación, más seguido se rompe la app.

Una respuesta de revisión no dice solo que no: propone el punto medio que ya está vigente y los avisos que lo protegen, con las fechas del calendario.