¿Cómo funciona TLS/HTTPS?

Question

IT Interview Practice · Accepted Answer

**HTTPS no es más que HTTP corriendo dentro de un canal cifrado con TLS.** TLS (Transport Layer Security) te da tres garantías: **confidencialidad** (el tráfico va cifrado), **integridad** (no se puede manipular sin ser detectado) y **autenticación** (realmente estás hablando con el servidor nombrado en el certificado). Se negocia en un **handshake** antes de enviar ningún HTTP:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

La parte ingeniosa es combinar dos tipos de criptografía. La criptografía **asimétrica** (el par de claves pública/privada del certificado) se usa solo brevemente para *autenticar al servidor y acordar de forma segura un secreto compartido*. Ese secreto compartido luego da la clave al cifrado **simétrico** rápido (como AES) para el grueso de los datos, porque la criptografía asimétrica es demasiado lenta para cada byte.

La **autenticación** se apoya en la cadena de certificados: el certificado del servidor está firmado por una **Certificate Authority (CA)**, y tu SO/navegador viene con una lista de CAs de confianza. Si la cadena es válida y el nombre coincide, se establece la confianza; si no (caducado, autofirmado, host incorrecto), el navegador muestra una advertencia. El moderno **TLS 1.3** simplifica todo esto a un único round trip (0-RTT al reanudar) y descarta los ciphers antiguos e inseguros.

## Por qué es importante

TLS sustenta esencialmente todo el tráfico web, así que entenderlo es lo mínimo exigible para cualquier puesto de backend, seguridad o infraestructura. Los entrevistadores lo usan para comprobar si captas el **modelo de criptografía híbrida** —asimétrica para establecer confianza y una clave compartida, simétrica para la velocidad—, un patrón que se repite en los sistemas de seguridad. Es además intensamente práctico: certificados caducados, cadenas no confiables y desajustes de protocolo/cipher son incidentes comunes en producción, y saber cómo funcionan el handshake y la validación de certificados es lo que te permite diagnosticarlos rápido (p. ej. con `curl -v` u `openssl s_client`).

Por qué es importante

Preguntas relacionadas