Mi web tenía el candado verde y no estaba cifrada

Estoy montando mi web nueva. Antes de mover nada hice el inventario de la vieja: qué páginas hay, qué recibe visitas, qué apunta a dónde.

Y ahí apareció esto: el candado verde del navegador estaba, el certificado era correcto, y el tráfico entre el intermediario y mi servidor viajaba sin cifrar.

Llevaba años así.

Qué estaba pasando

Entre tu visitante y tu servidor casi siempre hay un intermediario. El mío estaba configurado en un modo que cifra solo la primera mitad del camino: del visitante al intermediario, sí; del intermediario a mi servidor, no.

El navegador ve la primera mitad. Por eso pinta el candado.

Nadie ve la segunda. Por eso nadie avisa.

Lo que me llamó la atención no es el fallo

Es que ese modo es el que viene puesto de serie en muchas instalaciones, y que se queda ahí para siempre porque todo funciona.

No hay error en pantalla. No hay aviso en el panel. El sitio carga rápido, el candado está verde y el cliente no nota nada.

Un fallo que no se manifiesta no se corrige. Se hereda.

Qué hice

Lo dejé arreglado antes de que la web nueva pasara por ahí, no después. Cifrado real de punta a punta y comprobado desde fuera, no desde el panel que me estaba dando el candado.

El inventario me costó una mañana. Encontró esto y tres cosas más, entre ellas que veinticuatro vídeos que yo daba por alojados en mi servidor no estaban ahí, y que no existía ni una sola redirección de las que yo creía tener.

Ninguna de las cuatro habría aparecido mudando la web y mirando si carga.

Lo que esto tiene que ver con tu empresa

Es el mismo patrón que el CRM lleno de campos y vacío de datos, o la copia de seguridad que nadie ha restaurado nunca.

Tienes cosas dadas por buenas porque un día alguien las montó y desde entonces no dan guerra. No dar guerra no es lo mismo que funcionar.

La comprobación que sirve nunca es la del propio sistema diciendo que está bien. Es alguien mirándolo desde fuera.

Dos minutos, si quieres comprobar el tuyo

Pregunta a quien te lleva la web dos cosas concretas.

En qué modo está el cifrado entre el intermediario y el servidor, y si es el estricto.

Y cuándo fue la última vez que se restauró una copia de seguridad de verdad, no que se comprobó que existía.

Si la respuesta a cualquiera de las dos empieza por «debería estar», ya sabes lo que vale.