Una autoridad de certificación emite certificados digitales que vinculan una clave pública a una identidad. Cuando visitas un sitio web mediante HTTPS, tu navegador compara el certificado del sitio con una lista de autoridades de certificación de confianza. Si una autoridad de certificación de confianza lo ha firmado y el dominio coincide, el navegador muestra un candado. De lo contrario, recibes una advertencia. La autoridad de certificación es el pilar de confianza. Si se rompe, todo el sistema falla.

Las CA verifican la identidad antes de emitir certificados. La validación de dominio confirma el control sobre un dominio. La validación de organización comprueba que la empresa existe. La validación extendida añade una revisión más exhaustiva, aunque los navegadores han reducido su visibilidad. La verificación no es perfecta. DigiNotar se vio comprometida en 2011 y emitió certificados fraudulentos para dominios de Google. La empresa quebró. Symantec emitió certificados de forma incorrecta durante años antes de que los navegadores desconfiaran de ella. El sistema sobrevivió porque existen múltiples CA y los navegadores pueden revocar la confianza. Los registros de transparencia de certificados ahora registran públicamente cada certificado emitido, por lo que la emisión incorrecta se detecta más rápidamente. El modelo de confianza es centralizado y frágil, pero ha resistido mejor que la mayoría de las alternativas.

Niveles de validación del certificado

• Validación de dominio: demuestra el control del dominio.
• Validación de la organización: confirma que la empresa existe.
• Validación extendida: verificación de identidad exhaustiva
• Transparencia de los certificados: registros públicos de los certificados emitidos.

Cuando un navegador advierte sobre un certificado, presta atención. Normalmente significa que algo anda mal.