¿Qué es la norma y el certificado X.509?

X.509 es un estándar de la UIT-T y la IETF que define el formato para los certificados de clave pública, las listas de revocación de certificados y la validación de la ruta de certificación, y un certificado X.509 es el certificado digital emitido bajo ese formato para verificar la propiedad de una clave pública.

X.509 es el formato estándar que sustenta casi todos los certificados digitales que se utilizan actualmente, y define campos como la versión, el número de serie, el emisor, el período de validez, el sujeto y la clave pública. Una Autoridad de Certificación emite certificados X.509 para vincular una clave pública a una identidad, y los navegadores y las aplicaciones los validan para TLS, la firma de código y la seguridad del correo electrónico.

Puntos Clave

• La norma X.509 es mantenida conjuntamente por la UIT y la IETF, y define certificados, listas de revocación de certificados, certificados de atributos y algoritmos de validación de rutas.
• Un certificado X.509 puede pertenecer a un usuario, sitio web, dispositivo u organización, y admite casos de uso tanto asimétricos como simétricos.
• El campo Periodo de validez contiene dos fechas, notBefore y notAfter, que en conjunto definen el período de validez del certificado.
• Las extensiones como Nombre Alternativo del Sujeto (SAN) y Uso de Clave permiten que un único certificado cubra varios dominios o restrinja la forma en que se puede usar su clave.
• Según el calendario SC-081v3 del CA/Browser Forum, el plazo de validez de los certificados TLS públicos se reduce a 100 días para marzo de 2027 y a 47 días para marzo de 2029.

¿Qué campos componen un certificado X.509?

Campo	Propósito
Versión	Indica la iteración X.509 utilizada, que afecta a las extensiones disponibles y a la compatibilidad con algoritmos.
Número de serie	Identifica de forma única el certificado dentro del dominio de la CA emisora.
Algoritmo de firma	Especifica el algoritmo criptográfico que la CA utilizó para firmar el certificado, como RSA o ECDSA.
Nombre del emisor	Identifica la CA que emitió y firmó el certificado.
Período de validez	Define las fechas notBefore y notAfter durante las cuales se confía en el certificado.
Nombre del tema	Identifica al titular del certificado, normalmente mediante el nombre común y los atributos organizativos.
clave pública	La clave utilizada para el cifrado, las firmas o el intercambio de claves, junto con una clave privada que el titular mantiene en secreto.
Prórrogas de tiempo para presentar declaraciones de impuestos	Metadatos opcionales como el nombre alternativo del sujeto o el uso de la clave que personalizan el alcance del certificado.

¿Por qué es importante el campo de los algoritmos de firma?

El campo del algoritmo de firma registra con precisión el algoritmo y los parámetros que la CA utilizó para firmar el certificado, generalmente RSA, DSA o ECDSA. El software del receptor verifica este campo durante la validación de la ruta para confirmar que la firma sea criptográficamente válida y que aún se considere aceptable según la política de seguridad vigente.

¿Qué añaden las extensiones de certificado a los campos base X.509?

Las extensiones permiten que un certificado contenga más campos que los básicos, sin modificar la estructura base X.509.

• Nombre alternativo del sujeto (SAN): enumera los múltiples nombres de dominio o identidades que puede cubrir un solo certificado.
• Uso de claves: restringe las operaciones para las que se puede utilizar la clave pública, como firmas digitales o cifrado de claves.
• Políticas de certificados: contiene un OID de política y un puntero CPS opcional que define las prácticas de emisión y revocación que siguió una CA.

Cómo ayuda la consultoría de cifrado

CertSecure Manager analiza e inventaría cada campo y extensión X.509 de su conjunto de certificados, detectando algoritmos de firma débiles y periodos de validez que ya no cumplen con el calendario reducido del CA/Browser Forum. Cuenta con el respaldo de las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Cuál es la diferencia entre X.509 y TLS?

El estándar X.509 define el formato del certificado digital, incluyendo sus campos y extensiones. TLS es el protocolo que utiliza un certificado X.509 durante el establecimiento de la conexión para autenticar un servidor y, en algunos casos, un cliente, antes de establecer una sesión cifrada.

¿Puede un certificado X.509 cubrir varios dominios?

Sí, utilizando la extensión Nombre Alternativo del Sujeto (SAN). Un solo certificado puede incluir varios nombres de dominio, que es como muchas organizaciones protegen un dominio principal y varios subdominios sin emitir un certificado independiente para cada uno.

¿Qué son los campos notBefore y notAfter?

Las fechas notBefore y notAfter conforman el campo Periodo de validez. notBefore indica la fecha más temprana en la que el certificado se considera válido, y notAfter su fecha de vencimiento; una parte que confía en el certificado lo rechaza fuera de ese plazo.

¿Quién mantiene el estándar X.509?

El estándar X.509 es mantenido conjuntamente por la Unión Internacional de Telecomunicaciones (UIT) y el Grupo de Trabajo de Ingeniería de Internet (IETF), que en conjunto definen el formato del certificado, la estructura de la lista de revocación y las reglas de validación de rutas que siguen las implementaciones de PKI.

Gestiona todos los certificados X.509 que emitas.

Administrador de CertSecure Descubre, inventaría y automatiza la renovación de todos los certificados X.509 de su infraestructura, manteniendo los algoritmos de firma y los periodos de validez alineados con los requisitos actuales de CA/Browser Forum. Vea CertSecure Manager en acción.