Cómo comprar un certificado de una autoridad certificadora.

Comprar un certificado a una Autoridad de Certificación implica elegir un nivel de validación, enviar una Solicitud de Firma de Certificado, completar la verificación del dominio o de la organización e instalar el certificado que emite la CA una vez que la verificación se haya completado con éxito.

Para adquirir un certificado, elija entre Validación de Dominio, Validación de Organización o Validación Extendida según las necesidades de su sitio web, seleccione una CA de buena reputación, genere una Solicitud de Firma de Certificado, envíela junto con los documentos de verificación necesarios y, finalmente, descargue e instale el certificado emitido. Planifique la renovación desde el primer día, ya que los periodos de validez de los certificados se están acortando en todo el sector.

Puntos Clave

• El nivel de validación debe ajustarse al riesgo, no solo al presupuesto. DV es adecuado para sitios estáticos o de bajo riesgo; OV y EV son adecuados para el comercio electrónico, los servicios financieros y cualquier lugar donde los usuarios ingresen datos confidenciales.
• La RSC es el núcleo técnico de la compra. Contiene su clave pública y los detalles de su organización, y la CA no puede emitir un certificado sin él.
• EV ya no modifica la forma en que los navegadores muestran la barra de direcciones. Los principales navegadores eliminaron el distintivo aspecto visual de EV en 2019; el valor de EV hoy en día reside en la exhaustividad de su verificación de identidad, no en una diferencia en la interfaz de usuario.
• La vigencia de los certificados se está reduciendo en todo el sector. La propuesta SC-081v3 del Foro CA/Browser reduce la validez máxima a 200 días para marzo de 2026, a 100 días para marzo de 2027 y a 47 días para marzo de 2029, por lo que la planificación de la renovación es más importante que nunca.
• Los certificados comodín son prácticos pero arriesgados para subdominios sensibles. Una única clave comodín comprometida expone todos los subdominios que abarca; las páginas de inicio de sesión y pago se gestionan mejor con certificados individuales.

Paso 1: Elija el tipo de certificado correcto.

Los tipos de certificados difieren en cuanto a la profundidad de la validación, el coste y el grado de garantía de identidad que ofrecen a los visitantes de un sitio web.

tipo de certificado	Profundidad de validación	Mejor ajuste
Dominio validado (DV)	Confirma únicamente el control del dominio, a menudo en cuestión de minutos.	Sitios estáticos, blogs, páginas de bajo riesgo
Organización validada (VO)	Verifica el control del dominio y la existencia legal de la organización.	Sitios comerciales e informativos
Extended Validation (EV)	Verificación exhaustiva del estatus legal, la presencia física y la autorización.	Comercio electrónico, servicios financieros, páginas de inicio de sesión

Los certificados EV ya no muestran el nombre de la organización directamente en la barra de direcciones del navegador. Los principales navegadores eliminaron ese distintivo visual en 2019, por lo que el valor de EV hoy en día reside en su exhaustiva verificación de identidad, más que en una diferencia visible en la interfaz de usuario.

Paso 2: Elija una autoridad de certificación de buena reputación.

La reputación de una autoridad de certificación, su compatibilidad con los navegadores y su capacidad de respuesta ante los problemas de seguridad son tan importantes como el precio del certificado.

Busque una CA que goce de amplia confianza en todos los navegadores, que responda con rapidez a las vulnerabilidades y que se someta a auditorías periódicas para garantizar su cumplimiento. Evite las CA con políticas de revocación o emisión poco claras, compatibilidad limitada con navegadores o un historial de respuesta lenta ante vulnerabilidades divulgadas.

Pasos 3 a 5: CSR, Envío e Instalación

La parte técnica del proceso de compra sigue los mismos tres pasos, independientemente de la CA o el tipo de certificado que haya elegido.

1. Crear una solicitud de firma de certificado. Genere una solicitud de firma de certificado (CSR) en su servidor que contenga su clave pública y los detalles de su organización, utilizando OpenSSL o las herramientas integradas de su servidor.
2. Envíe el formulario CSR y complete la validación. DV solo requiere prueba de control de dominio; OV y EV requieren la presentación de documentos de registro comercial o prueba legal similar.
3. Descargue e instale el certificado. Una vez que la CA emita el certificado, instálelo en su servidor y pruebe la instalación para confirmar que está configurado correctamente.

Paso 6: Planifique la renovación desde el primer día.

Los periodos de validez de los certificados se están reduciendo, por lo que la planificación de la renovación debe formar parte de la decisión de compra, no ser algo que se considere a posteriori.

La propuesta SC-081v3 del Foro CA/Browser amplía la validez máxima de los certificados a 200 días para marzo de 2026, a 100 días para marzo de 2027 y a 47 días para marzo de 2029. Un certificado adquirido hoy bajo un límite de 398 días ya deberá renovarse con un ciclo más corto antes de que caduque según las normas anteriores.

Buenas prácticas una vez que el certificado esté disponible.

Unas pocas opciones de configuración mantienen la seguridad de un certificado recién adquirido mucho después de la instalación inicial.

• Utilice claves de longitud adecuada. El cifrado RSA de 2048 bits o superior protege contra los ataques criptográficos a los que son vulnerables las claves más cortas.
• Almacene las claves privadas en un HSM. Los módulos de seguridad de hardware (HSM) protegen las claves contra manipulaciones; el almacenamiento de software cifrado con estrictos controles de acceso es la alternativa cuando no se dispone de HSM.
• Habilitar HSTS. La seguridad de transporte estricta HTTP obliga a los navegadores a usar HTTPS de forma predeterminada una vez que el certificado esté completamente configurado.
• Evite utilizar certificados comodín para subdominios sensibles. Utilice certificados individuales para las páginas de inicio de sesión y de pago, de modo que una sola clave comprometida no pueda exponer todo el dominio.
• Reemitir inmediatamente después de cualquier vulneración de seguridad clave. En caso de pérdida o robo de una clave privada, es necesario solicitar una nueva emisión de inmediato, sin tener que esperar hasta la próxima renovación programada.

Cómo ayuda la consultoría de cifrado

CertSecure Manager gestiona el ciclo de vida completo del certificado tras su compra, automatizando el seguimiento de la emisión, la implementación, la monitorización y la renovación, de modo que la disminución del periodo de validez nunca se traduzca en una renovación perdida. Cuenta con el respaldo de las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Necesito un certificado EV para un sitio de comercio electrónico?

EV ofrece la verificación de identidad más exhaustiva y es ideal para el comercio electrónico y los servicios financieros, pero ya no modifica la forma en que el navegador muestra la barra de direcciones; esta distinción visual se eliminó en todo el sector en 2019. Un certificado OV suele ser suficiente si le preocupa el tiempo de emisión más lento de EV.

¿Cuánto tiempo se tarda en recibir el certificado después de comprarlo?

Los certificados DV se pueden emitir en cuestión de minutos una vez verificado el control del dominio. Los certificados OV suelen tardar unos días en completarse para la verificación organizativa, y los certificados EV pueden tardar entre una y varias semanas debido a la exhaustividad de la verificación legal y comercial requerida.

¿Debería comprar un certificado comodín para cubrir todos mis subdominios?

Un certificado comodín es práctico y puede resultar económico para cubrir muchos subdominios, pero utiliza una única clave privada para todos ellos. Los subdominios sensibles que gestionan inicios de sesión o pagos se protegen mejor con un certificado individual que con un certificado comodín.

¿Tendré que renovar mi certificado con más frecuencia en el futuro?

Sí. La propuesta SC-081v3 del Foro CA/Browser reduce la validez máxima de los certificados a 200 días para marzo de 2026, a 100 días para marzo de 2027 y a 47 días para marzo de 2029. Un certificado adquirido hoy debe gestionarse teniendo en cuenta esta reducción del ciclo de validez, idealmente mediante renovación automática en lugar de seguimiento manual.

Automatice lo que viene después de la compra.

Vea CertSecure Manager en acción para gestionar certificados automáticamente después de la compra, desde la supervisión hasta la renovación.