Un certificado gratuito y otro caro cifran con los mismos algoritmos y muestran el mismo candado. La diferencia está en qué comprobó el emisor antes de firmar, y en cuánto te pagará si se equivocó.
Los tres niveles
- DV, validado por dominio. Demuestra que controlas el dominio. Se emite en segundos, es gratis con Let's Encrypt y es lo que usa casi cualquier sitio de internet.
- OV, validado por organización. Añade una comprobación de que la empresa existe. Tarda días y solo aparece en los detalles del certificado, que nadie abre.
- EV, validación extendida. Una comprobación más a fondo de la empresa. Antes ponía verde la barra de direcciones; los navegadores lo quitaron hace años, así que hoy es invisible.
Ningún navegador muestra ya el OV ni el EV de forma distinta al DV. Si lo compras por el efecto visual, ya no hay efecto visual.
Cuándo el de pago es realmente lo correcto
- Un comodín para muchos subdominios cuando automatizar la validación por DNS no es práctico.
- Una garantía que exige un contrato.
- Un aparato o un sistema que solo confía en un emisor concreto.
La diferencia de verdad es la renovación
Un certificado gratuito dura 90 días y se renueva solo. Uno de pago dura un año y alguien tiene que acordarse. En la práctica, se rompen más sitios por una renovación anual olvidada que por nada que haga un certificado gratuito.
certbot renew --dry-runEGPHP emite y renueva automáticamente un certificado gratuito para cada dominio. Salvo que algo concreto exija otra cosa, eso es todo lo que necesita un sitio.
