Los certificados SSL/TLS cifran tráfico y verifican propiedad de dominio. Let's Encrypt (2016) y Chrome HTTPS-only (2018) llevaron la adopción HTTPS por encima del 95 % en 2024. Para URLs cortas con dominio propio, la elección de certificado y el plan de renovación impactan la confianza directamente.
Existen tres niveles: DV (validación de dominio, gratis con Let's Encrypt o ZeroSSL), OV (validación de organización) y EV (validación extendida). Tras la retirada de los indicadores EV en navegadores (Chrome 2019, Firefox 2020), la ventaja de OV/EV es prácticamente nula. Para servicios de URL corta, DV con renovación automática es estándar.
Los certificados wildcard ("*.example.com") cubren múltiples subdominios. Let's Encrypt los emite gratis vía DNS-01, que requiere automatización en DNS. Cloudflare y AWS Route 53 con clientes ACME (certbot, acme.sh, lego) automatizan completo el proceso y eliminan la mayor parte del coste operativo.
HSTS fuerza HTTPS-only. Con "max-age" a 1 año (31536000), "includeSubDomains" y envío al HSTS preload list, la política se incrusta en los navegadores. Los logs CT publican todos los certificados emitidos y Chrome rechaza los que no estén. Monitorea crt.sh para detectar emisiones inesperadas. El mayor riesgo operativo es la renovación: con ciclos de 90 días en Let's Encrypt, automatiza y conecta alertas para evitar caducidades silenciosas.