Cómo crear registros TLSA con SWPanel

Requisitos previos recomendados

Antes de configurar un registro TLSA, asegúrate de cumplir con las siguientes condiciones:

1. DNSSec habilitado:

   • Es indispensable que el dominio tenga DNSSec configurado y activado, ya que los registros TLSA dependen de esta tecnología para garantizar la autenticidad de los datos en la zona DNS.
   • Sin DNSSec, los registros TLSA no estarán protegidos contra manipulaciones y podrían no ser utilizados por los clientes.

   Para habilitar DNSSec en tu servicio de hosting, puedes seguir las indicaciones del siguiente manual:

   • Manual: Cómo activar DNSSec en mi hosting

2. Certificado SSL/TLS vigente:

   • Necesitas un certificado SSL/TLS válido asociado al dominio o servicio que deseas proteger. Asegúrate de que el certificado esté activo y correctamente instalado.

   Si todavía no dispones de un certificado SSL, puedes adquirir uno que se adapte a tus necesidades a través de SWPanel siguiendo los pasos del siguiente manual:

   • Manual: Certificados SSL

¿Qué es un certificado SSL/TLS?

Un certificado SSL/TLS asegura la comunicación entre un cliente (como un navegador web o cliente de correo) y un servidor mediante cifrado. Esto protege los datos frente a terceros no autorizados y permite verificar la identidad del servidor. Los certificados SSL/TLS son fundamentales para garantizar la privacidad y la confianza en internet.

¿Qué es un registro TLSA y para qué sirve?

Un registro TLSA es un tipo de registro DNS utilizado junto con DNSSec para reforzar la autenticación de los certificados SSL/TLS mediante el protocolo DANE (DNS-based Authentication of Named Entities).

Propósito:

• Asociar un certificado SSL/TLS específico con un nombre de dominio o servicio. Esto permite verificar directamente en la zona DNS que el certificado presentado por un servidor es legítimo y confiable.

Ventajas:

• Mejora la seguridad mediante una validación adicional del certificado.
• Es útil en configuraciones con certificados auto-firmados o en redes privadas, eliminando la necesidad de depender exclusivamente de autoridades de certificación (CA).

Pasos detallados para crear un registro TLSA

1. Obtención del Hash TLSA del certificado SSL/TLS

El sistema de gestión calcula el Hash TLSA utilizando los siguientes parámetros predefinidos:

1. Uso del certificado (3):
   Indica que se confía directamente en el certificado del servidor TLS, sin requerir intermediarios como autoridades de certificación (CA).

2. Selector (1):
   Solo utiliza la clave pública del certificado, no el certificado completo.

3. Algoritmo hash (1):
   Se emplea el algoritmo SHA-256 para calcular el hash del certificado.

Nota importante: El sistema solo genera el hash TLSA compatible con estos parámetros (3 1 1), por lo que estos mismos valores deben usarse al crear el registro TLSA.

• Accede al apartado Dominios y SSL - Certificados SSL de SWPanel.

info_capture La captura de pantalla es orientativa. Ha sido tomada sobre la versión 2025.00.0015 con fecha 30/11/2024. Puede diferir de lo que muestre la versión actual de SWPanel.

• Localiza el certificado correspondiente al servicio o dominio, haz clic en el menú de opciones [···] y selecciona Ver Hash TLSA.

info_capture La captura de pantalla es orientativa. Ha sido tomada sobre la versión 2025.00.0015 con fecha 30/11/2024. Puede diferir de lo que muestre la versión actual de SWPanel.

• Copia el valor del Hash TLSA generado, ya que se necesitará para configurarlo en la zona DNS.

info_capture La captura de pantalla es orientativa. Ha sido tomada sobre la versión 2025.00.0015 con fecha 30/11/2024. Puede diferir de lo que muestre la versión actual de SWPanel.

2. Creación del registro TLSA

• Ve al dashboard del servicio de hosting donde está configurado tu dominio y accede a la sección Gestiones sobre el servicio - Gestión de DNS.

info_capture La captura de pantalla es orientativa. Ha sido tomada sobre la versión 2025.00.0015 con fecha 30/11/2024. Puede diferir de lo que muestre la versión actual de SWPanel.

Ejemplo:

• Para un servicio web, el alias relevante será _443._tcp.tudominio.com o bien _443._tcp.www.tudominio.com
• Para un servicio de correo SMTP en el puerto 25, sería _25._tcp.mail.tudominio.com.

• Haz clic sobre Crear registro.

info_capture La captura de pantalla es orientativa. Ha sido tomada sobre la versión 2025.00.0015 con fecha 30/11/2024. Puede diferir de lo que muestre la versión actual de SWPanel.

• Tipo de registro: elige TLSA.

• Hash TLSA: pega el valor copiado previamente.

• Introduce los siguientes valores:

  1. Uso del certificado: 3 (Confía directamente en el certificado del servicio TLS).
  2. Selector: 1 (Utiliza solo la clave pública del certificado).
  3. Algoritmo hash: 1 (SHA-256).

• Finalmente, haz clic en Crear registro para guardar los cambios en la zona DNS.

info_capture La captura de pantalla es orientativa. Ha sido tomada sobre la versión 2025.00.0015 con fecha 30/11/2024. Puede diferir de lo que muestre la versión actual de SWPanel.

En la siguiente imagen, vemos cómo quedarían configurados los registros TLSA para los certificados SSL/TLS de:

• WEB "swmanuales.com" y "www.swmanuales.com" en el puerto 443.
• CORREO "mail.swmanuales.com" en los puertos 25, 110, 465, 993 y 995.

info_capture La captura de pantalla es orientativa. Ha sido tomada sobre la versión 2025.00.0015 con fecha 30/11/2024. Puede diferir de lo que muestre la versión actual de SWPanel.

3. Confirmación y propagación

• Ten en cuenta que las modificaciones en la zona DNS pueden tardar hasta 24 horas en propagarse globalmente.

Recomendación: Durante la propagación, puedes usar herramientas como dig para verificar el registro TLSA, por ejemplo:

dig +short TLSA _443._tcp.tudominio.com

Consideraciones importantes

1. Compatibilidad con DNSSec:
   Los registros TLSA solo son efectivos si DNSSec está habilitado y funcionando correctamente para el dominio. Sin DNSSec, los registros no estarán protegidos contra manipulaciones.

2. Renovaciones del certificado:
   Cada vez que renueves o cambies el certificado SSL/TLS, deberás actualizar el registro TLSA con el nuevo Hash.

3. Parámetros predeterminados (3 1 1):
   El sistema calcula automáticamente el Hash TLSA con los parámetros 3 1 1, por lo que siempre debes asegurarte de configurar el registro con estos valores:

   • 3: Define que el certificado del servicio TLS es confiable directamente.
   • 1: Solo utiliza la clave pública del certificado.
   • 1: Usa el algoritmo SHA-256 para calcular el hash.

4. Pruebas y validaciones:
   Puedes validar la configuración con herramientas específicas de DNS o servicios de validación online compatibles con DANE.

Con estos pasos y detalles, tu dominio estará configurado correctamente para validar certificados SSL/TLS mediante registros TLSA, reforzando la seguridad de tus servicios.