Si le preguntas a la mayoría de los dueños de negocio qué versión de TLS usa el sitio web de su empresa, la respuesta va a ser silencio. Y está bien — no es su trabajo saberlo. Es el nuestro.
El problema es que muchas veces tampoco lo sabe quien administra el servidor. No porque no le importe, sino porque es exactamente el tipo de configuración que se pone una vez, funciona, y nadie vuelve a tocar en años.
Nosotros lo encontramos en nuestra propia infraestructura hace unos días.
Qué es TLS 1.0/1.1, en una frase
TLS es el protocolo que encripta la conexión entre el navegador de un visitante y tu servidor — el candado que ves en la barra de direcciones. TLS 1.0 salió en 1999. TLS 1.1 en 2006. Ambos tienen debilidades estructurales conocidas desde hace más de una década (ataques como BEAST, y la familia de ataques tipo POODLE) que no se arreglan con un parche — son fallas de diseño del protocolo mismo.
Desde 2020, los navegadores modernos (Chrome, Firefox, Safari) los deshabilitaron por defecto. Desde 2018, el estándar PCI-DSS los prohíbe directamente para cualquiera que procese pagos con tarjeta.
Y sin embargo, siguen vivos en una cantidad sorprendente de servidores en producción — incluido, hasta hace poco, el nuestro.
Cómo lo encontramos
No fue un incidente. Fue el resultado de una revisión rutinaria de perímetro que hacemos regularmente sobre nuestra propia infraestructura — la misma disciplina que aplicamos cuando auditamos la de un cliente. Verificamos exposición externa real (no solo configuración en papel), revisamos cada capa del stack — DNS, firewall, certificados, y sí, protocolos de encriptación — y ahí apareció: el servidor seguía aceptando negociaciones TLS 1.0 y 1.1 junto con las versiones modernas.
Nada estaba explotado. No hubo alerta, no hubo incidente. Solo una configuración de hace tiempo que nadie había revisado con esa pregunta específica en mente.
Eso es, en realidad, el patrón más común en seguridad: no son los ataques sofisticados los que te exponen. Es la configuración por defecto que nadie volvió a mirar.
Qué hicimos
Restringimos el servidor a aceptar únicamente TLS 1.2 y 1.3 — las dos versiones actuales, sin las debilidades estructurales de sus predecesoras. El cambio se aplicó a nivel de servidor, cubriendo todo el tráfico que pasa por ahí de una sola vez.
Después no nos quedamos con "debería funcionar". Verificamos desde afuera, como lo haría un atacante real o un cliente evaluando el sitio: confirmamos que una conexión con TLS 1.0 o 1.1 falla al negociar, y que TLS 1.2 sigue negociando sin problema, con un cifrado moderno. Sin evidencia externa, no lo dábamos por cerrado.
La parte que importa
No compartimos esto para presumir un fix de dos líneas de configuración. Lo compartimos porque es representativo de algo más grande: la seguridad no es un proyecto que se termina, es un proceso que hay que seguir revisando — incluso, o especialmente, en la infraestructura propia de una empresa de ciberseguridad.
Si nunca te has hecho esta pregunta sobre tu propio sitio o tu app, probablemente no eres el único. Y probablemente no es lo único que nadie ha vuelto a revisar.
Primero vemos. Luego decidimos.
¿Quieres saber qué expone realmente tu infraestructura hoy? Ese es exactamente el tipo de hallazgo que buscamos en cada Assessment. Agenda una conversación técnica.