¿Qué es la validación de dominio?

La validación del dominio es una decisión basada en la confianza, no una mera formalidad

Cada candado HTTPS que aparece en tu navegador representa una decisión. Antes de que una autoridad de certificación (CA) emitiera el certificado que hay detrás de ese candado, tuvo que decidir si confiaba en la solicitud y qué datos se permitiría que el certificado declarara. Esa decisión se denomina «validación» y es el mecanismo silencioso que evita que la confianza en Internet se convierta en un caos.

La validación es importante porque las garantías criptográficas entre el cliente y el servidor por sí solas no son suficientes. Para entenderlo, los certificados SSL/TLS cumplen dos funciones: la criptografía garantiza que la comunicación se ha establecido con el titular del certificado y que el tráfico no puede ser leído ni manipulado por terceros; por otro lado, la validación garantiza que las dos partes que se comunican son realmente quienes dicen ser en el certificado. La infraestructura de clave pública (PKI) que regula los certificados funciona como una especie de Departamento de Tráfico digital: verifica y asigna certificados a las identidades que los solicitan; y un certificado en sí mismo es algo parecido a un carné de conducir, ya que contiene información sobre su titular y una fecha de caducidad.

La validación de dominio (DV) es la más habitual y rápida de estas decisiones de confianza. Esta guía explica qué es lo que realmente acredita la validación DV, en qué se diferencia de los niveles de validación más estrictos, quién establece las normas, cómo llevan a cabo las autoridades de certificación (CA) la validación y cómo la automatizan, y por qué realizar correctamente la validación es una decisión fundamental en materia de seguridad, más que un simple paso de configuración puntual. Si primero quieres tener una visión general de la estructura de los certificados, te resultará útil comprenderqué es un certificado SSL/TLS .

Qué demuestra realmente la validación del dominio

Esta es la definición de «respuesta primero»: la validación de dominio confirma que el solicitante controla el dominio indicado en el certificado, y nada más. Una autoridad de certificación (CA) que emite un certificado DV verifica que la parte que lo solicita es propietaria o controla el dominio, normalmente mediante una comprobación sencilla. No se verifican ni se muestran los datos de la organización.

Dicho de otro modo, los certificados DV verifican la identidad del servidor, mientras que los certificados de mayor nivel de garantía van más allá y verifican la identidad jurídica de la organización que hay detrás del sitio web. Es importante ser preciso en cuanto al alcance. Un certificado DV demuestra que tu conexión llega al dominio que has solicitado. No dice nada sobre la identidad jurídica de la empresa que gestiona el sitio web, ni sobre si dicha empresa es de confianza.

La criptografía en sí misma es la misma. Los certificados DV permiten utilizar los mismos algoritmos y protocolos criptográficos que cualquier otro certificado. Lo único que varía según los niveles de validación es el grado de garantía, es decir, el nivel de exhaustividad de la verificación de identidad que lleva a cabo la CA y la información que esta registra en el certificado.

Lo que la validación de dominio no demuestra (y por qué es importante)

Dado que los certificados DV solo verifican el control del dominio y nunca la empresa que hay detrás, un certificado DV válido no es garantía de legitimidad. Esta laguna tiene consecuencias reales. Los delincuentes pueden adquirir certificados DV a un precio bastante bajo, a veces en el mercado negro, para que los sitios web de phishing y suplantación de identidad parezcan legítimos y atraigan a visitantes desprevenidos para que faciliten información financiera o personal. Una gestión deficiente de los certificados agrava el problema, ya que un certificado DV comprometido o robado puede resultar difícil de distinguir de uno legítimo.

La conclusión no es que el DV sea malo. Es que el candado y un certificado DV confirman una conexión privada y cifrada con un dominio específico, no que el propietario del dominio sea digno de tu confianza. Esa distinción sirve de base tanto para la comparación que viene a continuación como para la sección sobre por qué es importante la validación.

Comparación entre la validación de dominio y los niveles de validación superiores

Desde el punto de vista de la DV, los tres niveles de validación se diferencian en el grado de rigor con el que la CA comprueba la identidad, en la información que figura en el certificado y en el tiempo que tarda la emisión. La criptografía es la misma en los tres niveles.

Nivel de validación	Lo que verifica la CA	Plazo habitual de emisión	Caso de uso más adecuado
Validado por dominio (DV)	Solo control del dominio; sin datos de la organización	Acta	Sitios web personales, blogs, servicios internos o no comerciales
Validado por la organización (OV)	El control del dominio, además de la existencia jurídica de la organización, tal y como figura en el certificado	Más largo, implica contacto con CA	Sitios web y aplicaciones comerciales que recopilan datos de los usuarios
Validación ampliada (EV)	Un análisis exhaustivo de la identidad jurídica, física y operativa de la organización, puesto en marcha por la propia organización	El proceso de selección más largo y riguroso	Sitios web muy conocidos que suelen ser blanco de ataques de phishing, como bancos y grandes cadenas minoristas

La validación de dominio es el tipo de validación más básico y rápido, ya que suele emitirse en cuestión de minutos, lo que explica en gran medida por qué es el certificado más habitual en la web. La validación de organización añade una comprobación de la existencia legal de la organización y recoge esos datos en el certificado. La validación extendida, regulada por las Directrices EV del CA/Browser Forum —que, según señala Keyfactor , se establecieron en 2007—, añade la revisión más exigente y puede activar indicadores de identidad mejorados en algunos navegadores. La validación de organización y la validación extendida se tratan aquí únicamente a modo de referencia, ya que se abordan en profundidad en otros apartados.

Para comprobar qué nivel de validación corresponde al certificado, puedes abrir un terminal y ejecutar

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -text

Busca la extensión «X509v3 Certificate Policies» en el resultado. La validación de dominio se identifica mediante el identificador reservado 2.23.140.1.2.1. Si ese campo contiene un valor diferente, significa que el certificado se ha emitido bajo un nivel distinto; puedes obtener más información sobre las diferencias entre ellos en nuestra página dedicada ala validación de certificados.

Cuándo basta con la validación del dominio (y cuándo no)

La decisión práctica depende de la finalidad de tu sitio web. Dado que el certificado DV no verifica los datos de la organización, resulta más adecuado para sitios web personales o internos, blogs y servicios no comerciales en los que la rapidez y la sencillez son más importantes que la identidad que se muestra.

Los sitios web comerciales y de cara al público son otro caso. Los sitios que gestionan inicios de sesión, aceptan pagos o manejan datos regulados deberían plantearse la certificación OV o EV, recomendadas para sitios web y aplicaciones comerciales que recopilan datos de los usuarios. Los niveles más altos ofrecen a los visitantes una identidad organizativa verificada en la que pueden confiar, lo cual es fundamental precisamente allí donde los atacantes concentran sus esfuerzos de phishing. Si tu sitio web es un proyecto personal o una herramienta interna, el certificado DV suele ser la opción adecuada. Si recopila datos sensibles, considera el certificado DV como un mínimo, no como un máximo.

¿Quién se encarga de la validación y cuál es la fuente de referencia?

La validación no es algo que cada CA invente por su cuenta. Las normas provienen del CA/Browser Forum, un organismo voluntario formado por autoridades de certificación y proveedores de navegadores y otras aplicaciones software que utilizan certificados. El Foro publica los «Requisitos Básicos de la Iniciativa de Certificación de Dominios ( TLS )», que definen los métodos permitidos que una CA debe utilizar para validar el control del dominio, y se espera que las CA los cumplan.

Para confirmar el control, una CA consulta fuentes externas fiables en lugar de dar por buena la palabra del solicitante. WHOIS, y su protocolo sucesor RDAP, identifican el contacto registrado de un dominio. DNS proporciona registros fidedignos que solo puede modificar quien tenga el control de la zona del dominio. Y por debajo de todo ello se encuentra la CA raíz, que actúa como fuente fiable de integridad para toda la cadena: tu navegador confía en el certificado porque este se remonta hasta una raíz en la que ya confía. Esta estructura en capas es la razón por la que el control de un dominio, verificado frente a registros que el solicitante no puede falsificar fácilmente, es suficiente para validar un certificado DV.

El marco se aplica de forma activa y se está endureciendo progresivamente. La vigencia máxima permitida actualmente para los certificados es de 200 días, pero el CA/Browser Forum ha aprobado una votación para reducir drásticamente dicha vigencia, que pasará a ser de 100 días en 2027 y de tan solo 47 días en 2029. Una vigencia más corta implica que la validación y la renovación se producen con mucha más frecuencia, lo que constituye la principal razón por la que el sector está pasando de las comprobaciones manuales a la automatización.

Cómo se lleva a cabo la validación de dominios: los métodos de validación

Cuando una autoridad de certificación (CA) necesita confirmar que un solicitante tiene el control de un dominio, recurre a un pequeño conjunto de métodos estandarizados definidos en los Requisitos Básicos. Cada uno de ellos exige al solicitante que demuestre dicho control de una forma que resulte difícil de falsificar, normalmente demostrando que puede recibir un mensaje en una infraestructura que solo controla el propietario del dominio, o introducir un valor específico en dicha infraestructura. Los tres métodos que se indican a continuación son los que más suelen encontrar los operadores de sitios web.

Correo electrónico a un contacto del dominio

En este método, la CA envía un mensaje que contiene un valor aleatorio único a una dirección asociada al dominio, y el control se confirma cuando el destinatario devuelve dicho valor. Históricamente, la CA podía consultar el contacto registrado en el registro WHOIS, pero la variante más utilizada hoy en día consiste en enviar un correo electrónico a una dirección creada ad hoc: un buzón estándar como admin@, administrator@, webmaster@, hostmaster@ o postmaster@ en el dominio que se está validando. El solicitante recupera el valor aleatorio y responde para demostrar que tiene el control. El valor aleatorio es de un solo uso para esa solicitud y, según los Requisitos Básicos, no tiene una validez superior a 30 días. La lógica es sencilla: solo alguien que controle el correo del dominio puede recibir y devolver el código.

DNS modificación del registro

En este caso, el solicitante demuestra su autoridad sobre la zona « DNS » del dominio mediante la publicación de un valor facilitado por la CA. La CA solicita que se incluya un valor aleatorio único o un token de solicitud en un registro « DNS » —normalmente un registro TXT y, en ocasiones, un registro CNAME o CAA— en el nombre de dominio de autorización, a menudo bajo una etiqueta precedida por un guión bajo. Una vez que la CA consulta DNS y comprueba el valor esperado, se confirma el control. Dado que solo la parte que gestiona el archivo DNS de un dominio puede añadir registros a su zona, una comprobación satisfactoria de DNS constituye una prueba sólida de control, y este método resulta muy adecuado para la automatización y para la validación de dominios comodín.

Método de archivo HTTP (archivo de verificación)

El método basado en archivos consiste en que el solicitante coloque un token proporcionado por la CA en un lugar al que solo el operador del sitio tenga acceso. La CA proporciona un token de solicitud o un valor aleatorio, y el solicitante lo guarda en un archivo del servidor web, dentro del directorio /.well-known/pki-validation/. A continuación, la CA recupera ese archivo a través de HTTP o HTTPS en un puerto autorizado y debe recibir una respuesta satisfactoria (2xx) que contenga el valor esperado. Las variantes automatizadas modernas de este enfoque, incluido el desafío HTTP ACME definido en el RFC 8555, funcionan básicamente de la misma manera: demuestran el control enviando un valor específico desde el propio servidor web. Al igual que con los demás métodos, el token tiene una validez limitada a un máximo de 30 días.

Automatización de la validación de dominios con ACME

Realizar estas comprobaciones manualmente resulta factible cuando un certificado tiene una validez de un año. Sin embargo, se vuelve poco práctico cuando los certificados duran unas semanas. Ahí es donde entra en juego el Entorno de Gestión Automatizada de Certificados (ACME). ACME es un protocolo que permite a un cliente y a una autoridad de certificación (CA) llevar a cabo la validación de dominios, la emisión, la renovación y la revocación de forma programada, sin que sea necesario que una persona haga clic en un enlace de verificación.

ACME facilita la emisión, renovación y revocación automáticas de certificados al agilizar las interacciones entre un servidor web y la CA. Se desarrolló originalmente para Let’s Encrypt y actualmente cuenta con un amplio soporte entre las CA y los proveedores de PKI. Su auge está directamente relacionado con la reducción de la vigencia de los certificados descrita anteriormente: a medida que la vigencia máxima se acerca a los 47 días para 2029, la validación y la renovación manuales simplemente no pueden seguir el ritmo, y la automatización se convierte en la única forma fiable de evitar caducidades. ACME es uno delosvariosprotocolos de inscripción automatizada, como ACME, SCEP y EST,que hacen que la gestión de certificados sea escalable.

Por qué es importante la validación de certificados

La validación es la base de la decisión de confianza que toma tu navegador en cada conexión segura. Al confirmar que un certificado pertenece realmente al dominio que estás visitando, la validación es lo que evita los ataques de «hombre en el medio», en los que un atacante intercepta el tráfico entre tú y un sitio web para robar credenciales o datos. Sin una validación fiable, un atacante podría crear un sitio web falso y actuar como proxy de tu sesión bancaria sin que te dieras cuenta.

La validación es también el punto débil que los atacantes intentan explotar. Dado que los certificados DV son baratos y rápidos de obtener, los delincuentes los utilizan para camuflar sitios de phishing, y precisamente por eso es importante garantizar la identidad más allá del control del dominio en los sitios que gestionan transacciones confidenciales. Además, la validación favorece el cumplimiento normativo: normativas y estándares como PCI DSS, HIPAA y el RGPD exigen a las organizaciones que protejan los datos financieros, médicos y personales, y los certificados debidamente validados y bien gestionados forman parte del cumplimiento de esas obligaciones.

Por último, la validación ya no es una acción puntual. A medida que se acorta la vida útil, una validación y una renovación fiables se convierten en necesidades operativas continuas. Una renovación omitida puede dejar fuera de servicio un sitio web o una aplicación, minar la confianza de los usuarios y crear una brecha de seguridad, por lo que una validación fiable es ahora un requisito continuo, en lugar de una casilla que se marca en el momento del lanzamiento.

Cómo Keyfactor ayudarte Keyfactor

A escala empresarial, el reto rara vez consiste en validar un único dominio. Se trata de validar, emitir y renovar miles de certificados de forma coherente, a medida que su vida útil se va reduciendo cada vez más. « Keyfactor » te permite detectar, gestionar y automatizar todos los certificados de tu empresa, lo que permite a los equipos pasar de una gestión reactiva a una visibilidad y un control proactivos.

Esto implica un proceso de detección automatizado que te permite saber exactamente cuántos certificados tienes y cuándo caduca cada uno, la emisión y renovación automatizadas a través de protocolos estándar, incluido ACME, y una validación y aplicación de políticas coherentes en múltiples autoridades de certificación (CA). Keyfactor AgileSecpermite la detección y crea un inventario de activos criptográficos, incluidos los certificados, en toda la empresa. Keyfactor Command se centra en la automatización del ciclo de vida de los certificados y la prevención de interrupciones del servicio, mientras que EJBCA es compatible con la emisión moderna de PKI a gran escala. Juntos ayudan a las organizaciones a adelantarse a la tendencia hacia los certificados de 47 días sin la sobrecarga de trabajo manual, y a seguirlas mejores prácticas de gestión del ciclo de vida de los certificadoscomo una cuestión de rutina en lugar de como una hazaña heroica.