¿Qué certificado debería usar tu servidor?
Cualquiera que se conecte a tu servidor ve su certificado, así que un solo sondeo puede delatar al servidor. Usa un certificado de confianza si puedes. Si no puedes, un certificado autofirmado honesto aún puede ser mejor que uno falso.
Qué le dice a una red cada certificado
-
De confianza
Un certificado válido para tu dominio, firmado por una autoridad de certificación.
Parece un sitio web o un servicio normal.
-
Autofirmado
Un certificado que ninguna autoridad ha firmado, con un nombre ficticio, como el de un servidor recién instalado.
Parece un servidor privado, como un router o un equipo de pruebas.
-
No válido
Un certificado autofirmado con el nombre de un sitio real, en una dirección IP que ese sitio no usa.
Parece un servidor que se hace pasar por lo que no es.
Por qué un certificado autofirmado puede ser mejor que uno no válido
Un navegador rechaza ambos. La diferencia está en lo que afirma cada uno.
Un nombre ficticio no afirma nada, así que no hay nada que desmentir. Los routers, los equipos de pruebas y las herramientas privadas muestran a diario el mismo tipo de certificado, y una red que bloquee todos esos certificados también los bloquea a ellos.
El nombre de un sitio real es una afirmación que cualquiera puede comprobar: ese sitio tiene un certificado de una autoridad y direcciones propias, y tu servidor no tiene ninguna de las dos cosas. Ningún servidor normal se presenta así, de modo que una red no pierde nada al bloquearlo.
Aun así, el nombre de un sitio real puede ayudar en una red que se guía únicamente por el nombre, donde puede pasar y un nombre ficticio no. Para probarlo, añade un certificado con ese nombre en un servidor administrado o en un servidor independiente.
No tiene sentido maquillar un certificado autofirmado. Su organización, su periodo de validez y sus extensiones no cambian nada, ya que un sondeo ve de inmediato que ninguna autoridad lo ha firmado.
Consigue un dominio si puedes
Un certificado de confianza es la verdadera solución frente a los sondeos, y cuesta poco: un dominio es barato y los certificados de Let's Encrypt son gratuitos.
Usa un host del dominio, como api.example.com. Muchos sitios tienen una API o sus archivos en un host propio que rechaza a los desconocidos, igual que tu servidor, así que parece normal. www.example.com queda libre para el sitio que quieras, en cualquier alojamiento.
Sin embargo, un dominio no ayuda a tus usuarios a eludir una dirección bloqueada, ya que lleva al mismo servidor. Solo un proxy inverso lo consigue.
