Esta guía explica cómo interpretar correctamente la información detallada proporcionada por Qualys SSL Labs (https://www.ssllabs.com/ssltest/), que a veces puede parecer técnica o alarmante sin el contexto adecuado.

Introducción

• Qualys SSL Labs es una herramienta de análisis ampliamente utilizada para evaluar la configuración SSL/TLS de los sitios web.
• Las advertencias en sus informes suelen ser solo detalles técnicos que no tienen un impacto significativo en la seguridad o el SEO del sitio.

Múltiples certificados en los informes de SSL Labs

Cuando SSL Labs analiza un sitio web, puede mostrar varios certificados numerados (certificado nº 1, certificado nº 2, etc.). Esto ocurre por varias razones:

1. Certificado principal (#1): El certificado que se presenta cuando se utiliza el SNI (Indicación del nombre del servidor).
   • El SNI es una extensión TLS que permite a un servidor alojar varios certificados SSL para diferentes dominios en la misma dirección IP. Cuando un navegador se conecta, indica el nombre de dominio al que desea conectarse.
2. Certificado secundario (#2): El certificado que se presenta cuando no se utiliza el SNI o durante una conexión directa por IP.

Una indicación "No SNI" en el certificado nº 2 no es un error. Simplemente significa que SSL Labs ha probado lo que ocurre cuando un cliente se conecta sin proporcionar información SNI. En este caso:

• El servidor sirve un certificado de respaldo (a menudo un certificado genérico o de vista previa).
• Esta situación afecta únicamente a clientes que utilizan versiones muy antiguas y que no son compatibles con SNI.
• Los navegadores modernos utilizan SNI y, por lo tanto, recibirán el certificado nº 1.

Problemas con la cadena de certificados

"Problemas con la cadena: orden incorrecto, certificados adicionales, contiene un certificado raíz"

Estas advertencias no significan necesariamente que el certificado esté defectuoso:

• Orden incorrecto: Los certificados intermedios no se presentan en el orden óptimo.
• Certificados adicionales: Se incluyen certificados adicionales innecesarios.
• Contiene el certificado raíz: El certificado raíz está incluido en la cadena.

El protocolo TLS permite omitir el certificado raíz, ya que normalmente ya está presente en los almacenes de certificados de los navegadores. Incluirlo no es un error, sino una redundancia.

“Los nombres alternativos no coinciden”

En el caso del certificado de respaldo (#2), la advertencia "MISMATCH" es normal porque:

• Este certificado está diseñado para otro dominio (preview.infomaniak.website).
• Se muestra únicamente cuando no se utiliza SNI.
• El navegador que recibe este certificado lo identificaría como no correspondiente al dominio solicitado, pero esto no afecta las conexiones normales con SNI.

En relación con las preocupaciones sobre el SEO:

• Google y otros motores de búsqueda utilizan navegadores modernos que admiten SNI.
• Reciben el certificado nº 1, que es válido para su dominio.
• Las advertencias sobre el certificado nº 2 no afectan al posicionamiento en los motores de búsqueda.
• Solo los problemas con el certificado principal (#1) podrían afectar al SEO.

Esta configuración es perfecta para un alojamiento compartido, donde varios sitios comparten la misma infraestructura, y un certificado de previsualización sirve como solución de respaldo.