Tienes tu dominio (Route 53) y tu contenido rápido (CloudFront). Falta algo imprescindible hoy en día: que tu sitio sea seguro, que use HTTPS. Para eso necesitas un certificado SSL/TLS, y AWS te los da gratis con ACM (AWS Certificate Manager). En este subcapítulo entenderás qué son y cómo simplifican la seguridad.

Habrás notado que las webs empiezan por http:// o https://, y que el navegador muestra un candado en las seguras. La diferencia:

• HTTP: la comunicación entre el usuario y el servidor viaja sin cifrar. Cualquiera que «escuche» la red (en un wifi público, por ejemplo) podría leer lo que se envía: contraseñas, datos de tarjetas, mensajes...
• HTTPS: la comunicación va cifrada. Aunque alguien la intercepte, solo ve datos ilegibles. Es HTTP + cifrado.

Hoy HTTPS no es opcional. Los navegadores marcan las webs HTTP como «no seguras», Google penaliza su posicionamiento, y los usuarios desconfían de un sitio sin candado. Toda web debe usar HTTPS.

Para que HTTPS funcione, el servidor necesita un certificado SSL/TLS. Este certificado cumple dos funciones:

1. Habilita el cifrado: permite establecer la conexión cifrada entre usuario y servidor.
2. Verifica la identidad: demuestra que el sitio es quien dice ser (que mibanco.com es realmente el banco, no un impostor). Lo emite una autoridad de confianza.

Analogía: un certificado SSL es como el carné de identidad oficial de tu web, emitido por una autoridad reconocida. Cuando el navegador lo ve, confía en que estás hablando con el sitio real, y abre un «canal privado» (cifrado) para la conversación. Sin certificado, no hay candado ni canal seguro.

Antes, conseguir y mantener certificados era un engorro:

• Había que comprarlos (costaban dinero).
• Instalarlos manualmente en el servidor (proceso técnico y propenso a errores).
• Renovarlos periódicamente (caducan), y si te olvidabas, ¡tu web dejaba de funcionar con un aviso de seguridad! Esto ha tumbado webs de grandes empresas por un simple olvido.

ACM elimina todos esos problemas. Es el servicio de AWS que emite y gestiona certificados SSL/TLS, con tres grandes ventajas:

Los certificados de ACM para usar con servicios de AWS son completamente gratuitos. No pagas nada por el certificado.

ACM renueva los certificados automáticamente antes de que caduquen. Nunca tendrás que preocuparte de que tu web se quede sin candado por un olvido. Este es, quizá, el mayor alivio: adiós a los sustos por certificados caducados.

ACM se integra directamente con los servicios que dan la cara a internet:

• CloudFront (subcapítulo 16.2).
• Application Load Balancer (Capítulo 13).
• API Gateway (Capítulo 14).

Asocias el certificado a estos servicios con un par de clics (o unas líneas de Terraform), y ellos se encargan del cifrado. No tocas servidores ni instalas nada a mano.

El flujo típico es muy sencillo:

1. Solicitas un certificado en ACM para tu dominio (ej. miweb.com).
2. Validas que el dominio es tuyo (normalmente añadiendo un registro DNS en Route 53; ACM y Route 53 se integran para hacerlo casi automático).
3. Asocias el certificado a tu CloudFront, balanceador o API Gateway.
4. Listo: tu sitio sirve HTTPS, y ACM renueva el certificado solo para siempre.

Detalle a recordar: los certificados para CloudFront deben crearse en la región Norte de Virginia (us-east-1), por una particularidad técnica de cómo funciona CloudFront. Es un despiste habitual: si tu certificado no aparece al configurar CloudFront, comprueba que lo creaste en esa región.

• HTTPS es HTTP cifrado: protege los datos (contraseñas, pagos) de miradas ajenas y muestra el candado. Hoy es obligatorio para cualquier web seria.
• HTTPS necesita un certificado SSL/TLS, que cifra la conexión y verifica la identidad del sitio.
• ACM (AWS Certificate Manager) emite y gestiona certificados con tres ventajas: gratuitos, renovación automática (nunca más sustos por caducidad) e integración automática con CloudFront, balanceadores y API Gateway.
• Flujo: solicitas → validas el dominio (vía DNS/Route 53) → asocias el certificado al servicio → ACM lo renueva solo.
• Para CloudFront, crea el certificado en la región us-east-1 (Norte de Virginia).

En el último subcapítulo del capítulo añadiremos una capa de protección a tu sitio: el cortafuegos de aplicaciones WAF, integrado con CloudFront.