Documentación

Sepa si su configuración TLS sigue cumpliendo las guías actuales

Un certificado válido es la mitad de HTTPS. La otra mitad es cómo lo usa el servidor: qué versiones de TLS acepta, qué cifrados e intercambios de claves ofrece, si todavía responde a protocolos retirados hace años. Nada de eso se ve en el candado del navegador, y todo cambia sin hacer ruido: un balanceador de carga nuevo con sus propios valores por defecto, una imagen de servidor reconstruida a partir de una plantilla antigua, una actualización de una biblioteca que vuelve a activar algo.

Las guías también cambian. Una configuración que cumplía la edición del año pasado de una guía puede no cumplir la de este año sin que nada haya cambiado en el servidor. Pingsured prueba la configuración cada día y le avisa cuando deja de cumplir la guía con la que usted la juzga.

Qué examina la prueba diaria

Una vez al día, desde cada ubicación en la que se ejecuta una comprobación TLS, Pingsured sondea la configuración del servidor: las versiones de TLS que acepta, los conjuntos de cifrado y los grupos de intercambio de claves que admite, la clave y la firma del certificado, y si rechaza un handshake degradado. En el puerto 443 también lee las cabeceras que protegen HTTPS: Strict-Transport-Security, la redirección desde el puerto 80 y el atributo Secure de las cookies.

Todo lo que encuentra figura en el resultado de la comprobación, y la página de hallazgos TLS explica cada hallazgo y cómo corregirlo en los servidores habituales.

La guía con la que se juzga

Usted elige frente a qué guía publicada se juzga un servidor. La predeterminada es el perfil intermediate de Mozilla, el que producen la mayoría de los generadores de configuración. Puede añadir:

• BSI TR-02102-2 y TR-02103, las directrices federales alemanas, que el sector público alemán suele exigir a sus proveedores;
• NIST SP 800-52, la guía federal de EE. UU.;
• NCSC-NL, las directrices del gobierno neerlandés, ampliamente seguidas en la sanidad y las finanzas neerlandesas.

Cada guía está fijada a una edición exacta, y cada resultado registra la edición que lo juzgó, de modo que un resultado de hoy puede leerse más adelante frente a las reglas con las que se obtuvo.

Qué se le comunica

Un hallazgo frente a una guía que usted ha elegido fija el estado de la comprobación: un aviso por defecto, o un error, o, si lo prefiere, solo una nota en el resultado. Ese estado le llega como cualquier otro, por correo, en la aplicación o por webhook, a través de las suscripciones que lo incluyen. Los hallazgos fuera de las guías elegidas se registran igualmente, pero nunca generan alertas.

Cuando cambia el certificado y la calificación del servidor baja con él, el aviso de cambio de certificado lo indica.

La calificación con candados

Cada resultado califica la configuración de uno a cinco candados, para que el estado de un servidor se lea de un vistazo:

La calificación describe la configuración, no los días que le quedan al certificado, y por debajo de cinco candados el resultado nombra los hallazgos que la limitan. Cada ubicación califica lo que vio, y la comprobación muestra la calificación más baja.

Por qué probar su configuración TLS con Pingsured

• Cada día, no una vez al año. Una configuración que empeora se detecta al día siguiente, no en la próxima prueba de intrusión.
• Frente a la guía por la que le preguntan. La misma comprobación responde a «¿es esto lo bastante seguro para nuestros clientes?» y a «¿cumple esto la guía del BSI que cita nuestro contrato?».
• Explicado, no solo puntuado. Cada hallazgo está documentado: qué guía lo cuenta, con qué cláusula y cómo corregirlo.
• Desde varias ubicaciones. Los servidores detrás de una CDN o de un balanceador de carga pueden diferir según la región; cada ubicación da su propia calificación.
• Alojado en la UE, por una empresa alemana. Los datos de sus servidores se quedan en Alemania y Finlandia.

Límites que conviene conocer

• La prueba de configuración se ejecuta como mucho una vez al día por servidor y ubicación, así que un cambio se ve al día siguiente de hacerlo; la caducidad y la confianza del certificado se siguen comprobando en cada ejecución.
• Algunos requisitos no se pueden ver desde fuera: la renegociación iniciada por el cliente, los datos 0-RTT, los esquemas de firma de un handshake TLS 1.3, que va cifrado, y todo lo que hay dentro del servidor. No se juzgan, y un servidor no pierde nada por ellos.
• La comprobación juzga un servidor frente a una guía. No es una certificación y no sustituye a una auditoría.