HTTPS/TLS: datos en tránsito, no confianza en el sitio web

HTTPS y TLS cifran los datos mientras viajan desde su navegador hasta el servidor del sitio web, impidiendo que cualquier persona conectada a la misma red Wi-Fi o red pueda leerlos. Esto significa que las contraseñas, los números de tarjetas de crédito y los mensajes se transmiten de forma cifrada. Sin embargo, el icono del candado solo indica que la conexión está cifrada, no que el sitio sea legítimo. Un sitio de phishing puede obtener fácilmente un certificado TLS gratuito y mostrar también un candado, por lo que nunca debe confiar en un sitio basándose únicamente en HTTPS.

En los exámenes, preste atención a las preguntas que den a entender que HTTPS garantiza la honradez del sitio: no es así. Un truco rápido de eliminación: si una pregunta afirma que «HTTPS demuestra que el sitio web es seguro», la afirmación es falsa. Otra pista: TLS protege contra las escuchas clandestinas, no contra la posibilidad de que el sitio sea malicioso. Recuerde también que HTTPS no protege los datos una vez que llegan al servidor; el sitio aún podría gestionar indebidamente su información. Cuando vea «cifrado en tránsito» en una pregunta, piense en TLS, pero nunca lo confunda con la fiabilidad del sitio ni con la seguridad del almacenamiento de datos.

Para ponerse a prueba, imagine que utiliza una red Wi-Fi pública y ve un candado. Pregúntese: «¿Significa esto que puedo introducir mis datos bancarios de forma segura?». La respuesta es no: el candado solo impide que otras personas conectadas a la red Wi-Fi vean sus datos, pero el propio sitio podría ser falso. Una regla mnemotécnica concisa: «HTTPS protege el camino, no el destino». Compruebe siempre por separado la dirección y la reputación del sitio, aunque aparezca el candado.