Let's Encrypt es gratis - pero no es gratis

Afortunadamente, dado que cada vez más hoster ofrece certificados Let's Encrypt™, es decir, SSL gratuito, es hora de analizar más de cerca la iniciativa que hay detrás de este SSL para todos. ¿Qué hace exactamente Let's Encrypt? ¿Por qué los certificados son gratis ? ¿Qué puede hacer ya Let's Encrypt y en qué aspectos tiene que ponerse al día? En este artículo de fondo analizamos estas y otras cuestiones.

El cifrado del tráfico de datos es cada vez más habitual en la red. ¡Afortunadamente! Dado que también hemos integrado -hace aproximadamente un año- Let's Encrypt, tiene sentido echar un vistazo más de cerca al proyecto.

Let's Encrypt es una autoridad de certificación relativamente joven (la beta comenzó en 2015) para certificados SSL - también llamada Autoridad de Certificación (CA). La iniciativa ha creado un proceso automatizado a través del cual se emiten los certificados SSL. Estos muestran a los usuarios de sitio que están en el sitio web "real" y que el tráfico de datos entre el navegador y el servidor web está cifrado.

¿Qué es Let's Encrypt?

Los principios clave de Let's Encrypt son:

• Gratuito: Todo aquel que posea un nombre de dominio puede utilizar Let's Encrypt. Además, los certificados de Let's Encrypt son gratuitos.
• Automático: El software se ejecuta en un servidor web y puede obtener certificados con Let's Encrypt, estar asegurado para su uso y renovar automáticamente los certificados.
• Seguridad: Let's Encrypt proporciona una plataforma de seguridad TLS avanzada, tanto en la CA sitio como en la empresa operadora, para ayudarles a asegurar el servidor.
• Transparente: Todos los certificados emitidos y revocados de Let's Encrypt están a disposición del público.
• Abierto: El protocolo de emisión y renovación automática se publica como abierto para que otros lo adapten.
• Cooperativa: Al igual que los propios protocolos de Internet, Let's Encrypt es un esfuerzo de colaboración que beneficia a la comunidad.

Sí, los certificados de Let's Encrypt son realmente gratis

La pregunta más apremiante en primer lugar: ¿Es Let's Encrypt realmente gratis ? Para abreviar la historia: Sí, ni los certificados ni los programas requeridos cuestan dinero. Sin embargo, para muchos esta cuestión no se basa en motivos puramente económicos, sino en la pregunta de por qué está Let's Encrypt gratis . Entonces, ¿por qué se ofrece de repente en gratis un producto que otras organizaciones han pagado anteriormente?

La condición de organización sin ánimo de lucro y los patrocinadores hacen que Let's Encrypt gratis

Let's Encrypt es un proyecto sin ánimo de lucro y apenas tiene que pagar al personal. Además, la mayoría de los procesos están automatizados. Esto elimina una gran carga financiera. El hardware necesario también está cubierto en gran medida por la cooperación con la Fundación Linux. Todos los demás costes se cubren con patrocinios y donaciones.

Todos pueden donar cualquier cantidad de dinero a la organización a través de Paypal. Se ha creado un sistema de patrocinio para las sumas y organizaciones más grandes. El paquete más caro cuesta 350.000 dólares, mientras que las empresas más pequeñas reciben importes que oscilan entre los 10.000 y los 50.000 dólares, en función del número de personas empleadas.

Ahora, no sólo las consideraciones económicas juegan un papel en este contexto, sino también la cuestión de los motivos de los organizadores. Por un lado, está el argumento altruista: HTTPS debería convertirse en el estándar de Internet y todos los operadores de sitios web del mundo deberían poder adaptar su propio sitio web a él fácilmente y gratis .

Ha llegado el momento de que las comunicaciones cifradas sean el valor por defecto en la web y Let's Encrypt va a hacerlo realidad. - Encriptemos

La segunda motivación importante es la voluntad de crear igualdad en la red. Después de todo, la presencia de un certificado SSL se ha convertido en un criterio de clasificación para Google. Y si determinados sitios web no pueden permitirse los certificados o no tienen acceso a ellos, esto excluye a estos sitios -y por tanto a determinadas personas y sus proyectos WordPress - de la participación en Internet.

Proporcionamos los certificados de forma gratuita, porque el coste excluye a las personas. Nuestros certificados están disponibles en todos los países del mundo, porque la Web segura es para todos. - Encriptemos

La idea de justicia e igualdad parece, pues, el elemento central de los esfuerzos de Let's Encrypt.

Let's Encrypt cuenta con el apoyo de muchos líderes del sector

Además de los patrocinadores oficiales, entre los que se encuentran grandes nombres como Mozilla, Cisco, Chrome y Facebook, las empresas del sector WordPress también se encuentran entre los partidarios del proyecto Let's Encrypt. Por ejemplo, Automattic o wpbeginner. Estas empresas y organizaciones, en particular, encajan perfectamente con Let's Encrypt debido a su visión específica de Internet y su motivación en WordPress .

Automattic, por cierto, es un patrocinador de plata, lo que supone un coste anual de 50.000 dólares. Automattic ha destacado sobre todo por la integración por defecto de los certificados Let's Encrypt para los sitios alojados en WordPress .com sitios alojados.

Let's Encrypt es el proyecto, las estructuras organizativas son mucho más grandes

El propio Let's Encrypt es simplemente el servicio de certificación, es decir, la autoridad que emite los certificados. Sin embargo, la construcción organizativa global es mucho mayor. La organización matriz de Let's Encrypt es el Grupo de Investigación sobre Seguridad en Internet (ISRG), con sede en San Francisco. El consejo de esta organización sin ánimo de lucro incluye a científicos, representantes de empresas y representantes de fundaciones y otras organizaciones sin ánimo de lucro.

Al menos otras dos instituciones son también importantes en relación con Let's Encrypt. En primer lugar, la Electronic Frontier Foundation (EFF), que lleva cuidando de Certbot, el software de certificación para crear certificados Let's Encrypt, desde mayo de 2016. La otra es la Fundación Linux, que proporciona la infraestructura técnica para Let's Encrypt a través de su programa de Proyectos de Colaboración.

En total, varios equipos de organizaciones sin ánimo de lucro se encargan de Let's Encrypt y de la infraestructura correspondiente.

El mayor punto fuerte de Let's Encrypt es su facilidad de uso

Los tres mayores puntos fuertes de Let's Encrypt son, sin duda, que los certificados son gratuitos, que Let's Encrypt y el software necesario se desarrollan y mejoran constantemente, y que la configuración de los certificados es relativamente sencilla.

Ya hemos hablado del aspecto de los certificados gratuitos. Además, Let's Encrypt está en constante desarrollo. Por último, los certificados también son bastante fáciles de configurar para cualquier persona con los conocimientos y derechos de acceso adecuados. Incluso aprender los pasos necesarios no es necesariamente difícil. Sólo tienes que utilizar Certbot y añadir los módulos necesarios a tu servidor web. A continuación, se pueden crear y renovar los certificados.

La mayor debilidad de Let's Encrypt es la compatibilidad

Actualmente, la gama de certificados es muy manejable con un solo certificado. Esto no cambiará en el futuro, porque las validaciones ampliadas necesarias para los certificados OV o EV no pueden automatizarse y además cuestan dinero. Sin embargo, es precisamente la automatización lo que hace que los certificados de Let's Encrypt sean gratis . Por lo tanto, las validaciones extendidas son actualmente difíciles de reconciliar con la idea básica de Let's Encrypt, aunque hubo ideas iniciales sobre cómo la validación podría ser subcontratada a la comunidad, por ejemplo. Sin embargo, hasta donde sabemos, los planes para la introducción de las validaciones ampliadas aún no se han llevado a cabo.

Aunque los certificados no son difíciles de integrar para los profesionales, para los no profesionales, o para las personas que sólo tienen un acceso limitado a su servidor web, puede llevar un tiempo innecesario ajustar la configuración del servidor para el Certbot, pedir los certificados, integrarlos y renovarlos regularmente. En particular, la duración de un certificado SSL Let's Encrypt es mucho más corta que la de un certificado "normal". Los certificados Let's Encrypt deben renovarse cada 90 días. Un certificado SSL clásico, en cambio, tiene una validez de 12, 24 o incluso 36 meses y no suele requerir mantenimiento técnico durante ese periodo.

En caso de problemas, estás completamente solo y no puedes hacer uso de ningún servicio de soporte de Let's Encrypt. Sin embargo, existe un amplio foro de apoyo a la comunidad. Al principio, la compatibilidad de los certificados SSL gratuitos con los distintos navegadores también era un problema. Mientras tanto, sin embargo, todos los principales navegadores pueden manejar los certificados. En realidad, sólo hay problemas con el software obsoleto.

Por lo tanto, si no tiene los conocimientos necesarios, integrar un certificado usted mismo, incluidas las pruebas, la resolución de problemas y la reparación, puede ser bastante más caro que comprar un certificado SSL. Sin embargo, esto también es ahora un problema más bien teórico. Porque muchos de los sitios web hoster admiten una sencilla instalación de los certificados con un solo clic, u ofrecen certificados básicos gratuitos de otras autoridades de certificación.

Conclusión: Let's Encrypt tiene un objetivo noble que debe ser apoyado

Según Let's Encrypt, quiere hacer que Internet sea más segura y rápida, especialmente para los usuarios que antes no tenían acceso a los certificados SSL. Para los operadores de sitios web profesionales, Let's Encrypt tiene sobre todo una ventaja de coste, confianza y SEO, aunque sólo sea para las validaciones de dominio. Es dudoso que en un futuro próximo se ofrezcan también validaciones ampliadas, suponiendo que no se pueda resolver el problema de la automatización.

Sin embargo, el uso de los certificados no sólo proporciona un cifrado gratuito -y para unos y otros un conocimiento más profundo de la seguridad en Internet-, sino que también apoya indirectamente la buena causa de Let's Encrypt. Hemos integrado Let's Encrypt principalmente porque creemos en los beneficios del proyecto. Porque los certificados son gratis , pero su uso no es gratuito, sino que se espera que sea una contribución a un nuevo estándar de seguridad en la red.

Imagen aportada: Unsplash