Existen dos tipos de Autoridades de Certificación: las CA públicas, que gozan de la confianza de los principales navegadores por defecto y emiten certificados para sistemas accesibles al público, y las CA privadas, que las organizaciones gestionan internamente para obtener certificados que nunca necesitan ser considerados de confianza fuera de su propia red.
Las autoridades de certificación públicas son organizaciones de terceros, como DigiCert o Sectigo, en las que los navegadores y sistemas operativos confían por defecto, lo que las convierte en la opción adecuada para sitios web públicos y aplicaciones orientadas al cliente. CA privadas son internos a una organización y emiten certificados para sistemas internos, dispositivos IoT y firma de código, ofreciendo mayor control pero sin confianza externa automática.
Puntos Clave
- Las autoridades de certificación públicas son de confianza por defecto en los navegadores; las autoridades de certificación privadas no lo son. Esta única distinción determina casi todas las demás diferencias entre los dos tipos.
- Las autoridades de certificación públicas ofrecen niveles de validación DV, OV y EV. Los certificados de validación de dominio, de validación de organización y de validación extendida priorizan una verificación de identidad cada vez más sólida sobre la velocidad de emisión.
- Las autoridades de certificación privadas otorgan a las organizaciones un control total sobre sus políticas. Los tipos de certificados, los procedimientos de validación y los períodos de validez se pueden personalizar sin necesidad de aprobación por parte de una autoridad de certificación externa.
- Las autoridades de certificación privadas son habituales para casos de uso internos y de IoT. La comunicación interna, la autenticación de dispositivos y la firma de código desarrollado internamente rara vez necesitan la confianza del navegador público.
- La mayoría de las empresas utilizan ambos sistemas simultáneamente. Las CA públicas protegen los sistemas orientados al cliente, mientras que una CA privada protege la infraestructura interna, cada una adaptada a lo que realmente se necesita.
¿Qué es una CA pública?
Una CA pública es una organización externa de confianza que emite certificados reconocidos automáticamente por los principales navegadores web.
- Tercero de confianza. CA públicas Son entidades establecidas y auditadas en las que tanto los usuarios como los sistemas confían por defecto.
- Alcance global. La mayoría de los navegadores confían en los certificados de forma predeterminada, lo que los hace adecuados para sitios web de acceso público.
- Múltiples niveles de validación. Los certificados DV, OV y EV ofrecen niveles crecientes de verificación de identidad para diferentes perfiles de riesgo.
- Compatibilidad del navegador. Los navegadores más populares confían automáticamente en los certificados de CA públicos, evitando así las advertencias de seguridad para los visitantes del sitio web.
Las autoridades de certificación públicas son la opción ideal para sitios de comercio electrónico, portales de banca en línea y cualquier aplicación de cara al público donde los visitantes necesiten generar confianza automáticamente sin necesidad de instalar nada.
¿Qué es un CA privado?
Una CA privada, también llamada CA interna, emite certificados para su uso dentro de un entorno cerrado o restringido.
- Sólo para uso interno. Los certificados de CA privados no son de confianza para los navegadores externos de forma predeterminada, lo que limita su uso a aplicaciones internas.
- Política personalizable. Las organizaciones establecen sus propios tipos de certificados, procedimientos de validación y períodos de validez.
- Tipos de certificados flexibles. Una CA privada puede emitir certificados SSL/TLS, de firma de código y de correo electrónico para uso interno.
- Control total sobre la emisión. Cada certificado emitido se rige por la política que la propia organización define, en lugar de por los requisitos básicos de una autoridad de certificación pública.
Las autoridades de certificación privadas son adecuadas para la comunicación de redes internas, la autenticación de dispositivos IoT y la firma de código para software desarrollado internamente, donde la confianza pública en el navegador nunca fue el objetivo.
CA público vs CA privado
La elección correcta depende enteramente de si es necesario confiar en el certificado fuera de los sistemas propios de la organización.
| Atributo | CA pública | CA privada |
|---|---|---|
| Confianza del navegador | Confiable por defecto | No se confía en el exterior |
| Caso de uso típico | Sitios web públicos, portales de clientes | Sistemas internos, IoT, firma de código interno |
| Niveles de validación | DV, OV, EV | Definido enteramente por la organización |
| Gobernanza | Requisitos básicos del foro de CA/Browser | Política propia de la organización |
| Modelo de costos | Por certificado o suscripción | Costos de infraestructura y operación |
¿Cómo puede ayudar Encryption Consulting?
La infraestructura de clave pública como servicio (PKI-as-a-Service) de Encryption Consulting admite jerarquías de CA públicas y privadas, lo que proporciona a las organizaciones una forma escalable de gestionar CA internas para IoT y firma de código, al tiempo que administran las relaciones de certificados públicos desde la misma plataforma operativa. Cuenta con el respaldo de las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.
Preguntas frecuentes
¿Puede una organización utilizar tanto una CA pública como una CA privada?
Sí, y la mayoría de las empresas lo hacen. Una CA pública protege los sitios web y las aplicaciones orientadas al cliente que necesitan la confianza automática del navegador, mientras que una CA privada gestiona los sistemas internos, la autenticación de dispositivos y la firma de código interno donde nunca se requirió la confianza externa.
¿Una CA privada es menos segura que una CA pública?
No inherentemente. Una CA privada puede aplicar políticas internas más estrictas que los requisitos básicos de una CA pública, ya que la organización controla directamente la validación y la emisión. La desventaja es que los certificados de una CA privada no gozan de confianza automática fuera de los sistemas de la propia organización.
¿Qué niveles de validación ofrece una CA pública?
La validación de dominio (DV) confirma únicamente el control del dominio y emite permisos rápidamente. La validación de organización (OV) verifica además la existencia legal de la organización. La validación extendida (EV) realiza las comprobaciones de identidad más exhaustivas, aunque los navegadores modernos ya no muestran el estado de EV de forma diferente en la barra de direcciones.
¿Por qué una organización gestionaría su propia CA privada en lugar de comprar certificados?
Una CA privada ofrece control total sobre los tipos de certificados, los periodos de validez y los procedimientos de validación, sin el coste por certificado de una CA pública. Es ideal para casos de uso como la autenticación de dispositivos IoT, la comunicación interna entre servicios y la firma de código interna, donde la confianza pública en el navegador no es el objetivo.
Modernice su infraestructura de CA
Explorar PKI como servicio para ejecutar Salas públicas y privadas de Cree jerarquías de CA desde una plataforma escalable, o bien, hable con un asesor de Encryption Consulting sobre su estrategia de CA.