HTTP y HTTPS

HTTP, el Hypertext Transfer Protocol, es lo que usan un navegador y un servidor para intercambiar contenido web: páginas, imágenes, ficheros, respuestas de API.

HTTPS es ese mismo protocolo transportado dentro de una conexión TLS, de forma que lo que se intercambia va cifrado y el servidor queda autenticado.

Los dos son fundamentales para el funcionamiento de la web, y la diferencia entre ellos tiene que ver por completo con lo que le ocurre al tráfico por el camino.

HTTP

El protocolo estándar para transferir datos en la web, servido convencionalmente en el puerto 80.

Lo envía todo en claro. Cualquiera situado entre los dos extremos, en una red inalámbrica compartida, en un router comprometido, en un proveedor intermedio, puede leer lo que se envía y puede modificarlo sin que ninguno de los dos extremos se entere.

Eso no es un fallo de HTTP. Se diseñó para mover documentos, y la confidencialidad nunca formó parte del diseño.

HTTPS

Las mismas peticiones y respuestas, sin cambios, transportadas dentro de una conexión TLS, servidas convencionalmente en el puerto 443.

Aporta tres cosas, y merece la pena nombrarlas por separado porque a menudo se resumen todas en «cifrado»:

Confidencialidad. Un observador situado en medio ve que existe una conexión y aproximadamente cuántos datos se mueven, no lo que contienen.

Autenticación del servidor. El certificado dice qué nombre tiene derecho a servir el servidor, respaldado por una infraestructura de clave pública en la que el cliente confía.

Integridad. El contenido alterado en tránsito se detecta y la conexión falla, en lugar de entregarse la versión modificada en silencio.

Un ejemplo

Alguien compra en una tienda por HTTP. Los datos de su tarjeta y su contraseña viajan en claro, y cualquiera que esté en el camino puede leerlos.

Por HTTPS esos mismos datos viajan dentro de una conexión TLS: ilegibles para un observador, y entregados a un servidor que demostró qué nombre posee.

HTTPS es HTTP sobre TLS, y TLS es más que HTTPS

Merece la pena deshacer dos atajos.

El primero: HTTPS no es un protocolo aparte. Es HTTP transportado dentro de una conexión TLS. Lo que cifra, lo que autentica al servidor con un certificado y lo que detecta la manipulación es TLS. HTTP en sí no cambia en absoluto.

El segundo es una corrección que se aplica a casi cualquier descripción de este asunto, incluidas versiones antiguas de esta misma: la expresión «cifrado SSL/TLS» está desfasada. SSL lleva años obsoleto. El nombre actual es TLS, la versión actual es TLS 1.3, las versiones 1.0 y 1.1 están formalmente retiradas y TLS 1.2 sigue siendo el grueso de lo desplegado.

TLS tampoco es solo para la web: protege el correo y muchos otros protocolos, así que decir HTTPS cuando quieres decir TLS deja fuera la mitad del problema. Es el mecanismo que hay detrás del cifrado en tránsito.

Y lo que una revisión encuentra en realidad casi nunca es el protocolo. Es la versión y la configuración: versiones obsoletas que se siguen ofreciendo por culpa de un cliente antiguo que nadie quiere romper, suites de cifrado débiles que se dejan negociables, certificados caducados o mal validados por el cliente. Un servidor moderno no sirve de nada si mantiene abierto un camino débil, y a un cliente que no valida el certificado se le puede interceptar por muy bueno que sea el servidor. Cuando una aplicación controla los dos extremos, el certificate pinning estrecha lo que va a aceptar.