Qué pide la ley · Seguridad · cómo se arregla
El cifrado que autoriza el CCN3 pasos, en lenguaje llano
¿Negocia el servidor versiones de cifrado retiradas?
menos del 1%
de los organismos juzgados: el servidor no ofrece ninguna versión de TLS que un cliente actual acepte
5 de 2.693 organismos juzgados · juzgado: la portada contestó, o tiene una fila de transporte · base del 10 de noviembre de 2026 · en la raya de seguridad: un mapa de versiones de cifrado retiradas por pueblo es un mapa para atacar. Solo da el recuento nacional y nunca se pone junto a un nombre
se dice «no consta en lo juzgado», nunca «incumple»: lo que falta puede estar en una página que no se capturó
§ 1Qué hay que hacer
Esto es editorial: lo que haría falta según lo que pide el artículo, escrito aquí en lenguaje llano. No sale de una medición y no es asesoramiento jurídico.
Apagar TLS 1.0 y 1.1 y los cifrados débiles
En el servidor o en el balanceador: solo TLS 1.2 y 1.3, con las suites que recomiendan las guías del CCN.
Renovar lo que sirve la sede
Un servidor sin soporte no recibe parches de cifrado: la actualización va antes que la configuración.
Comprobarlo como lo comprobamos
Una herramienta de análisis TLS sobre el dominio: lo que negocia, versión a versión.
§ 2Cómo lo medimos, y qué no miramos
el servidor no ofrece ninguna versión de TLS que un cliente actual acepte
en la raya de seguridad: un mapa de versiones de cifrado retiradas por pueblo es un mapa para atacar. Solo da el recuento nacional y nunca se pone junto a un nombre
El intento https falló con «unsupported protocol»: el servidor no ofrece nada por encima de TLS 1.1, que los navegadores rechazan desde 2020.
mide la obligación en parte: versión negociada · hallazgo en 5 de 2.693 organismos juzgados (menos del 1 %), en los que lo que pide la ley no consta en lo juzgado · juzgado: la portada contestó, o tiene una fila de transporte · leídas a ciegas 3 filas decididas: 3 ciertas · muestra pequeña · severidad medio · la ficha de la regla
la conexión TLS se negoció con un cifrado sin secreto hacia adelante
en la raya de seguridad: un mapa de cifrado débil por pueblo es un mapa para atacar. Solo da el recuento nacional y nunca se pone junto a un nombre
En TLS 1.2, el cifrado elegido no tiene secreto hacia adelante (intercambio de claves RSA, sin ECDHE ni DHE) o va en modo CBC (ni GCM, ni ChaCha20, ni CCM).
mide la obligación en parte: cifrado negociado (de buena práctica) · hallazgo en 29 de 2.693 organismos juzgados (1 %), en los que se encontró lo que la regla busca · juzgado: la portada contestó, o tiene una fila de transporte · leídas a ciegas 16 filas decididas: 16 ciertas (100 %) · severidad bajo · la ficha de la regla
Lo que no miramos
- qué algoritmos ha autorizado el CCN: sus guías no se han podido leer, y hasta entonces estas reglas son de buena práctica, no de norma
- por organismo: un mapa de cifrado débil por pueblo es un mapa para atacar; va solo en cifra nacional