Verificador de TLS: mira qué protocolos y cifrados acepta todavía tu servidor

Es el conjunto de parámetros que el servidor acepta negociar en una conexión TLS: versiones de protocolo, conjuntos de cifrado, algoritmo de intercambio de claves, extensiones y protecciones. El certificado es uno de esos parámetros, pero la postura incluye todos los demás. Dos servidores con el mismo certificado válido pueden tener posturas muy distintas.

El análisis revisa el handshake completo, incluida la cadena de certificados que presenta el servidor. El foco está en los parámetros que el navegador no muestra: versiones de protocolo aceptadas, cifrados negociables, intercambio de claves con secreto perfecto hacia adelante, compresión TLS, renegociación segura y la respuesta a las sondas de Heartbleed y ROBOT.

Perfect Forward Secrecy es la propiedad de una sesión cuya clave no puede recuperarse a partir de la clave privada del servidor. Existe cuando el intercambio de claves usa ECDHE o DHE, que generan un secreto efímero por sesión. Sin PFS, quien haya capturado tráfico y después obtenga la clave privada puede descifrar todas las sesiones grabadas. Con PFS, la clave privada solo sirve para autenticar al servidor.

Sí. Ambas versiones fueron declaradas obsoletas por la RFC 8996 en 2021 y dependen de construcciones con debilidades documentadas, como el modo CBC de TLS 1.0 explotado por BEAST. PCI DSS exige TLS 1.2 o superior para transmitir datos de tarjetas. Si el servidor mantiene la versión por compatibilidad con un cliente específico, el hallazgo sigue siendo válido, porque cualquier cliente puede negociar esa versión mientras esté habilitada.

El análisis abre conexiones TLS y observa lo que el servidor acepta negociar. En el log del servidor aparecen como conexiones TLS, del mismo tipo que genera cualquier cliente HTTPS. No se envía payload, no se explota nada y no se escanean puertos. Heartbleed y ROBOT se verifican con sondas que observan cómo responde el servidor, sin extraer datos.

No. En esta página solo se ejecuta el análisis de TLS, y la nota refleja ese resultado. El diagnóstico completo ejecuta TLS, cabeceras HTTP y correo en el dominio indicado, y cada hallazgo muestra de qué verificación viene.

La configuración TLS cambia cuando se cambia de CDN, balanceador o proveedor de hosting y cuando se renuevan certificados, momentos en que el servidor puede volver a los valores por defecto del proveedor. La referencia de lo que se considera seguro también cambia: cifrados aceptados hoy entran en listas de obsolescencia más adelante. Una prueba puntual describe el estado actual. La plataforma repite la verificación cada 35 días y registra la evolución.