Let's Encrypt renueva el certificado un martes por la mañana. El sitio web se reinicia sin problemas, pero la aplicación móvil iOS permanece fuera de línea para el 40% de los usuarios que aún utilizan la versión anterior. Causa: fijación de certificado en la clave pública anterior, sin pin de respaldo ni lanzamiento anticipado de la App Store.
HPKP ha desaparecido de los navegadores; La fijación se refiere principalmente a aplicaciones nativas, agentes integrados y ciertos SDK. Vincula la disponibilidad móvil con el ciclo de certificados y el tiempo de revisión del almacén, una combinación explosiva sin gobernanza.
Certificado PIN o clave pública
Generalmente fijamos el hash SPKI de la clave pública, lo que es más estable que un certificado completo si la CA vuelve a emitir con la misma clave. Documente el algoritmo (SHA-256) y el valor en un inventario compartido de infraestructura y móvil.
Hoja de cálculo mensual: versión de la aplicación, pin activo, pin de respaldo, producto del certificado de vencimiento, fecha de la última versión de la tienda.
PIN de respaldo obligatorio en la práctica
Un solo pin = desprecio total por la renovación. El pin de respaldo (segundo hash SPKI) debe estar integrado antes del intercambio de productos del certificado. Calendario: envío de la App Store antes del cambio de certificado, no después del incidente.
ADR de seguridad: fijar sí/no con modelo de amenaza. En caso contrario: Monitoreo de Transparencia de Certificados + certificados automatizados de corta duración.
Alternativas modernas
| Enfoque | Cuando |
|---|---|
| Monitorización por TC | Aplicaciones sin restricciones de fijación extrema |
| Aplicación mTLS | API B2B, no tienda pública |
| Pin + copia de seguridad | Amenaza MITM dirigida y documentada |
mTLS y CT a menudo reducen la necesidad de combinar la renovación del certificado y la liberación móvil.
Protocolo del día de lanzamiento
Renovación del día D: panel de control de fallos móvil abierto, sala de guerra infra + móvil, versión revertida de la aplicación lista, comunicación de soporte escrita previamente.
Puesta en escena de prueba con certificado/clave futura antes del intercambio de productos: revisión de la tienda sin sorpresas.
Alojamiento y renovación
Automatizar la producción web de ACME; API móvil de certificado separada si hay diferentes puntos finales. Verifique que la renovación no cambie la clave sin previo aviso (algunas migraciones de CA).
Compare hosts con certificado API y tiempos de soporte si la fijación está activa: archivos directorio y comparador.
Inventario de pinos
Versión de la aplicación de hoja de cálculo, pin hash, pin de respaldo, certificado de caducidad: revisión de seguridad mensual.
Si se impone un PIN móvil: PIN de respaldo más aprobación escrita del cable de seguridad.
Calendario de rotación de claves públicas alineado con la renovación de certificados de CA.
Monitoreo operativo
Revisión anual: anclar el modelo de amenaza o legado aún justificado que se eliminará. Documento de decisión ADR accesible móvil e infraestructura. Rotación de certificado del día de lanzamiento abierto del gráfico de picos de fallas móviles: protocolo de sala de guerra. Documente las brechas entre la promesa del proveedor de hosting y la medición de campo en la revisión trimestral.
Continuación trimestral
Revisión anual: anclar el modelo de amenaza o legado aún justificado que se eliminará. Documento de decisión ADR accesible móvil e infraestructura. Rotación de certificado del día de lanzamiento abierto del gráfico de picos de fallas móviles: protocolo de sala de guerra. Documente las brechas entre la promesa del proveedor de hosting y la medición de campo en la revisión trimestral.
Mantenga un runbook fechado, métricas de antes y después, revisión posterior al incidente: la disciplina acumulativa evita el pánico del viernes por la noche.
Mantenga un runbook fechado, métricas de antes y después, revisión posterior al incidente: la disciplina acumulativa evita el pánico del viernes por la noche.
Mantenga un runbook fechado, métricas de antes y después, revisión posterior al incidente: la disciplina acumulativa evita el pánico del viernes por la noche.
Mantenga un runbook fechado, métricas de antes y después, revisión posterior al incidente: la disciplina acumulativa evita el pánico del viernes por la noche.
Mantenga un runbook fechado, métricas de antes y después, revisión posterior al incidente: la disciplina acumulativa evita el pánico del viernes por la noche.
Mantenga un runbook fechado, métricas de antes y después, revisión posterior al incidente: la disciplina acumulativa evita el pánico del viernes por la noche.
Persecución operativa
Mantenga un runbook actualizado, una revisión trimestral con los equipos comerciales y métricas antes y después de cada cambio. Documente las brechas entre la promesa del host y la medición de campo: latencia, cuotas, restauración, soporte. Para comparar la infraestructura y leer otros comentarios del campo, explore nuestro directorio, el comparador y las guías técnicas del blog: una decisión documentada es mejor que una actualización comprada apresuradamente el viernes por la noche.
Decide y avanza sin puntos ciegos
- Inventario de aplicaciones fijadas: equipo móvil, fecha de vencimiento vinculada, pin de respaldo presente o ausente.
- Calendario de certificados = calendario de lanzamiento: envío de la App Store antes del intercambio de claves de producción.
- Nueva clave de prueba de puesta en escena: lanzamiento del día de puertas abiertas del monitoreo de fallos del panel.
- Alternativas primero: monitorización por TC, HSTS, mTLS; anclar solo si MITM amenaza una red hostil.
- Registro de seguridad trimestral: rotación de superposición de SPKI medida en semanas.
TLS y alojamiento: directorio, comparador, guías TLS.
Preguntas frecuentes
¿HPKP todavía existe en los navegadores?
No: Chrome y Firefox han eliminado HPKP. La fijación se refiere principalmente a aplicaciones móviles nativas y ciertos agentes integrados.
¿Certificado PIN o clave pública?
Generalmente fijamos el hash SPKI de la clave pública, más estable que un certificado completo si la CA vuelve a emitir con la misma clave.
¿Es obligatorio el pin de respaldo?
En la práctica, sí: un segundo pin evita la interrupción total durante la renovación. Un solo pin vincula la disponibilidad y el ciclo de la App Store.
¿Qué alternativas a la fijación?
Vigilancia de la transparencia de los certificados, certificados automatizados a corto plazo, aplicaciones mTLS: a menudo son suficientes sin combinar la renovación del certificado y la liberación móvil.
Revisión anual: ¿el modelo de amenaza o el legado todavía justifican la eliminación del pin?