Guillem Alsina Gonzàlez
TLS (Transport Layer Security) o, con anterioridad, SSL (Secure Sockets Layer), es un protocolo que permite la comunicación encriptada entre los dos extremos de un servicio online, como un sitio web, que es donde tal vez sea más conocido y utilizado, aunque también podemos emplearlo con el correo electrónico entre otros servicios online. Para ello, se requiere de la instalación de un certificado en el lado del servidor, que el cliente puede comprobar para verificar la autenticidad del servicio y, por lo tanto, establecer la comunicación de forma efectiva.
Dichos certificados, que contienen claves públicas criptográficas para poder validar su originalidad, son expedidos por autoridades certificadoras independientes, parte de las cuáles se agrupan en el CA/Browser Forum (Certification Authority Browser Forum, fundado en 2005), en el que también tienen cabida los productores de navegadores web. Dicha entidad fija la duración de la validez de estos certificados, que tienen una caducidad y deben renovarse.
Cuando Internet empezó a llegar al público en general, en la década de los noventa del siglo pasado, un certificado SSL podía tener fácilmente entre cinco y diez años de validez, pero este periodo fue recortado paulatinamente por las entidades certificadoras por motivos de seguridad (como reducir la exposición en el caso de robo de credenciales), de gestión (adaptar las nuevas tecnologías criptográficas conforme surgieran), y de transparencia.
De los 5-10 años, pasaron a los tres años, dos años, y 398 días (trece meses) a partir de 2020. Y ahora, lo que ha aprobado el CA/Browser Forum es pasar de estos 398 días a solo 47 en poco más de tres años.
Esto, para los responsables de las empresas que deban renovar los certificados, significará un incremento en su trabajo, ya que cada mes y medio deberán realizar dicho trámite que, por otra parte, no es complicado, pero requiere hacerlo, y con un coste económico ampliado. Esta tarea se complicará especialmente en el caso de las empresas que poseen centenares, si no miles, de certificados, e incluso en aquellas que arrastran sistemas legacy de los que no pueden prescindir, entre otras molestias provocadas a los poseedores de certificados TLS.
Cabe decir que la medida ha sido aprobada por votación, pero todavía no ha entrado en vigor, lo que podría dar lugar a modificaciones si se genera debate a su alrededor. De hecho, el mismo documento que consigna el resultado de la votación que la aprobó, deja la puerta abierta a incorporar cambios en el futuro.
La hoja de ruta prevista para desplegar este cambio pasa por reducir paulatinamente y hasta 2029, el periodo de validez de los certificados TLS: los que se emitan a partir del 15 de marzo de 2026 tendrán una duración de 200 días, que pasará a ser de 100 días a partir del 15 de marzo de 2027, y bajarán a los 47 días el 15 de marzo de 2029. Paralelamente, los periodos de reutilización se limitarán también a 200, 100 y 10 días en las mismas fechas.
