SSL/TLS Gratis con Let's Encrypt: No Hay Excusa Para No Tener HTTPS

¿Qué es HTTPS y por qué importa?

HTTPS (HyperText Transfer Protocol Secure) es simplemente HTTP con cifrado. Cuando visitás un sitio con HTTPS, todo el tráfico entre tu navegador y el servidor está cifrado con TLS (Transport Layer Security).

Tener HTTPS no es solo una cuestión técnica. Es un factor de negocios directo:

• SEO: Google confirmed que HTTPS es un ranking factor. Si tu competidor lo tiene y vos no, perdés posiciones.
• Confianza: Chrome marca los sitios sin HTTPS como "No seguro" con un candado rojo. Eso mata conversiones.
• Seguridad real: Protege contra MITM attacks, eavesdropping, y tampering del contenido.
• SEO + Performance: Google favorece sitios con HTTPS y HTTP/2, que solo funcionan con TLS.

Let's Encrypt: certificados gratis para todos

Let's Encrypt es una autoridad certificadora (CA) gratuita, automatizada, y abierta, fundada por la EFF, Mozilla, y otras organizaciones. Hasta 2016, tener un certificado SSL costaba $50-500 USD/año. Let's Encrypt lo hizo gratis.

En IPSECURENETWORK, los certificados Let's Encrypt se instalan automáticamente en todos los planes cuando configurás tu dominio. Sin costo, sin configuración manual.

Cómo funciona certbot (instalación manual)

Si tu hosting no tiene SSL automático (deberías cambiar de hosting si es así), podés instalar Let's Encrypt manualmente con certbot:

# Ubuntu/Debian
sudo apt install certbot python3-certbot-nginx

# Generar certificado para tu dominio
sudo certbot --nginx -d tu-dominio.com -d www.tu-dominio.com

# Verificar renovación automática
sudo certbot renew --dry-run

Certbot maneja la renovación automática. Los certificados de Let's Encrypt expiran en 90 días, pero el proceso de renovación automática se encarga de todo.

Configuración correcta de TLS

Instalar el certificado no es suficiente. Necesitás configurar TLS correctamente. Una configuración débil es casi tan mala como no tener SSL.

Lo que necesitás en tu nginx/apache config:

# Habilitar TLS 1.2 y 1.3 SOLAMENTE (desactivar 1.0 y 1.1)
ssl_protocols TLSv1.2 TLSv1.3;

# Curvas elípticas modernas
ssl_ecdh_curve X25519:P-256:P-384;

# Cifrados modernos (sin RC4, sin 3DES, sin AES-256 en CBC)
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';

# Habilitar OCSP Stapling
ssl_stapling on;
ssl_stapling_verify on;

# HSTS: forzá HTTPS por 1 año mínimo
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Lo que NO debería estar:

• TLS 1.0 (deprecated desde 2020)
• TLS 1.1 (deprecated)
• RC4 cipher (roto desde 2013)
• 3DES cipher (deprecated)
• AES-CBC sin GCM (vulnerable a BEAST attack)

HTTP Strict Transport Security (HSTS)

HSTS le dice al navegador: "Este sitio SIEMPRE se accede por HTTPS, nunca por HTTP." Una vez que el navegador recibe ese header, automáticamente convierte cualquier link http:// a https:// antes de hacer el request.

Esto protege contra:

• Downgrade attacks (forzar HTTP en lugar de HTTPS)
• Certificate warning clicks que ignoran el riesgo
• Man-in-the-middle en redeswifi públicas

¿Qué pasa si tu hosting no incluye SSL gratis?

Es una señal de que tu hosting está desactualizado o tiene prácticas anticuadas. En 2026, incluir SSL automático es standard de la industria.

Si tu hosting te cobra por SSL o no ofrece Let's Encrypt automático, es hora de buscar otro provider. Tu seguridad web no debería depender de una decisión de pricing de 2015.