Mecánica de certificados

Introducción

Anjana Data como empresa y como producto no gestiona por defecto certificados firmados por entidades no reconocidas; se utilizan certificados de tipo wildcard pero que tengan un ámbito más específico al del cometido de la empresa y del propio software, no un wildcard demasiado amplio. Nos basamos en la siguiente normativa.

✅ Ejemplos validos:

• *.anjana-plugins.cliente.com

• *.entorno.cliente.com

• *.entorno.anjanadata.net

⚠️ Ejemplos no recomendados:

• *.cliente.com

• *.anjanadata.net

Modelo IaaS/PaaS/SaaS Híbrido

Cuando Anjana Data es desplegado en infraestructuras gestionadas por el cliente (ya sea on-premise o en la nube), la responsabilidad sobre la gestión de certificados recae en el cliente final.

Responsabilidades del cliente:

• Gestionar el ciclo de vida de los certificados.

• Almacenar de forma segura los certificados.

• Integrar los certificados en los diferentes componentes de la plataforma de acuerdo a la documentación oficial.

Requisitos técnicos:

• Los certificados deben ser emitidos por una autoridad certificadora pública reconocida, en caso contrario se podrían producir problemas de confianza e interconexión. Algunos ejemplos de CAs públicas son:

  • Let's Encrypt

  • Microsoft

  • Google

  • Amazon

  • DigiCert

  • GlobalSign

  • Otras…

Recomendación: Se recomienda el uso de Let's Encrypt junto con Certbot (o cualquier otra herramienta segura) para automatizar la emisión y renovación de certificados sin costes adicionales.

• Por seguridad la comunicación por IP ya no será posible, necesitarán asociarse dominios incluidos en los certificados mencionados a todas las máquinas que formen parte del entorno.

Consideraciones adicionales

• Los certificados deben contar con un nivel de cifrado robusto (mínimo RSA 2048 o ECC equivalente).

• Se recomienda configurar alertas o automatismos que permitan anticiparse a la expiración de certificados.

• En caso de utilizarse un proxy inverso (como NGINX o Apache), se debe asegurar que el mismo esté correctamente configurado para servir el certificado y permitir la validación TLS adecuada.

• En el modelo IaaS/PaaS/SaaS Híbrido, Anjana Data no proporciona soporte sobre herramientas específicas de gestión del ciclo de vida de los certificados, pero puede ofrecer recomendaciones.

Característica	Certificado Autofirmado	Certificado de CA Pública
Confianza	No confiado por defecto. Hay que instalarlo manualmente en cada cliente que se conecte.	Confiado por todos los navegadores, sistemas operativos, clientes Java y herramientas estándar.
Configuración inicial	Requiere generar el certificado, compartirlo, instalarlo en cada máquina cliente (cacerts) y configurar el DNS correctamente.	Solo instalar el certificado en el servidor, sin intervención del cliente.
Mantenimiento	Las renovaciones requieren volver a generar, reenviar y reinstalar en los clientes cada vez.	Renovaciones sin intervención del cliente si se usan servidores conectados a un gestor de ciclo de vida de certificados y no se altera el dominio inicial.
Validación de nombre de dominio	Posible, pero depende de que el cliente configure el DNS y el CN/SAN coincidan.	Reforzada: la CA valida que el dominio le pertenece al cliente antes de emitirlo.
Seguridad	Dependiente de las partes intervinientes.	Validado por terceros automáticamente, reconocido y conforme a estándares de seguridad.
Proveedor	Mayor complejidad para el proveedor: necesita importar, validar manualmente, seguir procesos de rotación.	Proveedor se conecta sin configuración adicional. Menor riesgo de errores y menor carga operativa.
Cumplimiento y auditoría	Menor trazabilidad. Puede no cumplir con ciertas normativas o expectativas de seguridad. Es necesario ser auditado.	Cumple requisitos de auditoría y compliance (ISO, SOC2, etc.) automáticamente. Las herramientas que administran el ciclo de vida tienen normalmente logs de auditoría y son monitorizadas de acuerdo a los estándares.
Coste	Gratuito	Gratuito si se usa Let’s Encrypt.
Uso recomendado	Entornos de desarrollo, pruebas internas, sistemas no críticos.	Producción, entornos corporativos, comunicaciones inter-empresa.

Modelo Full SaaS

En los despliegues bajo el modelo SaaS, Anjana Data se encarga de forma íntegra de la gestión de los certificados utilizados para establecer conexiones seguras entre los distintos microservicios y componentes de la plataforma, incluyendo la conexión persistente entre el servidor de licencias y el cliente.

Estos certificados son firmados por una entidad certificadora reconocida bajo el dominio de Anjana Data: anjanadata.net

Responsabilidades de Anjana Data:

• Gestión del ciclo de vida de los certificados.

• Almacenamiento seguro de los certificados.

• Integración transparente de los certificados en los componentes para asegurar una conexión segura.