Cómo funcionan los certificados digitales y la cadena de confianza (X.509 para humanos)

Introducción

Ves un candado en la barra del navegador y piensas: “es seguro”. Pero ¿qué hay detrás de ese candado?
¿Por qué tu navegador decide confiar (o no) en una web, un correo firmado o una VPN?

La respuesta está en los certificados digitales X.509 y en algo llamado cadena de confianza. En este artículo te lo explicamos de forma rápida y básica, pero respetando la realidad técnica.

Qué es un certificado digital X.509

Es un documento electrónico que vincula una clave pública con una identidad: una web, una persona, una empresa, un servidor.

Contiene, entre otras cosas:

• El nombre o dominio (ej.: gondor.es).
• La clave pública asociada.
• El emisor (quién ha emitido el certificado).
• El periodo de validez (desde / hasta).
• La firma del emisor.

Quién emite los certificados: las Autoridades de Certificación (CA)

Una CA (Autoridad de Certificación) es una entidad en la que los navegadores y sistemas confían para decir: “Sí, este certificado corresponde realmente a esta web/persona/empresa”.

Ejemplos: Let’s Encrypt, DigiCert, GlobalSign, FNMT, etc.

Cadena de confianza: raíz → intermedia → tu certificado

Un certificado no vive solo. Forma parte de una cadena:

• Certificado raíz: está preinstalado en tu navegador/sistema. Es el nivel más alto de confianza.
• Certificados intermedios: emitidos por la CA raíz para repartir carga y riesgo.
• Certificado de servidor / entidad final: el de tu web, tu API, tu VPN, etc.

Cuando visitas https://gondor.es, el servidor envía su certificado y, a veces, los intermedios. El navegador intenta construir una cadena que conecte ese certificado con una raíz de confianza que ya tiene instalada. Si lo consigue, muestra el famoso candado.

Por qué puede fallar un certificado

• Caducado: la fecha “hasta” ha pasado.
• Dominio incorrecto: el certificado es para ejemplo.com, pero estás en otro.com.
• Cadena incompleta: faltan certificados intermedios.
• Emitido por una CA no reconocida: el navegador no la tiene en su almacén de confianza.

Tipos de validación (a grandes rasgos)

• DV (Domain Validation): solo demuestra control sobre el dominio (Let’s Encrypt, por ejemplo).
• OV (Organization Validation): vincula dominio a una empresa registrada.
• EV (Extended Validation): validación reforzada (cada vez menos visible en navegadores).

Qué significa realmente el candado del navegador

Indica:

• Que la conexión está cifrada (TLS activo).
• Que el certificado presentado es válido y está emitido por una CA de confianza.

No indica:

• Que la web “sea buena gente”.
• Que no intenten estafarte desde ahí.
• Que el contenido sea legítimo.

Errores habituales de interpretación

• Confundir “tiene candado” con “es fiable y honesto”.
• Pensar que http le da igual a nadie (en 2025 debería ser inaceptable).
• Montar servicios internos con certificados autofirmados sin entender el impacto.

Checklist rápida

1. ¿Todos tus servicios expuestos usan HTTPS con certificados válidos?
2. ¿Los certificados cubren los dominios correctos (incluyendo subdominios)?
3. ¿Controlas caducidades (alertas, monitorización)?
4. ¿Conoces mínimamente qué CA estás usando y por qué?

Conclusión

Los certificados digitales no son solo “papel mojado criptográfico”: son la base de la confianza técnica de todo lo que hacemos por Internet.
Entenderlos no es opcional si quieres tomar decisiones informadas sobre seguridad.

En Gondor ayudamos a que esa confianza no sea un acto de fe, sino un diseño consciente y bien mantenido.