Validación de Dominio (DCV)¶
Antes de emitir cualquier certificado, toda Autoridad Certificadora (CA) necesita confirmar algo: que quien solicita el certificado realmente controla el dominio. Este proceso se llama DCV — Domain Control Validation (Validación de Control de Dominio), y es obligatorio para todos los tipos de certificado, DV, OV o EV.
Por qué existe esta etapa¶
Sin el DCV, cualquier persona podría solicitar un certificado para banco.com sin haber controlado nunca el dominio — lo que rompería toda la garantía que el SSL/TLS existe para dar. El DCV es la barrera que lo impide: la CA solo emite el certificado después de recibir una prueba de control que únicamente el dueño del dominio puede aportar.
Existen tres métodos aceptados. InteSys orienta y acompaña los tres hasta la emisión.
Método DNS (CNAME/TXT): el más común y recomendado¶
La CA entrega un valor único (un registro CNAME o TXT) que usted publica en la zona DNS del dominio. La CA consulta el DNS público, encuentra el registro y confirma el control.
Por qué es el método preferido:
- no depende de que una casilla de correo específica esté activa;
- funciona incluso para dominios sin correo configurado;
- puede automatizarse en futuras renovaciones, cuando el proveedor DNS admite API;
- es el método más predecible para entornos con múltiples subdominios o Wildcard.
La propagación del registro DNS puede tardar desde algunos minutos hasta algunas horas, según el TTL configurado en la zona — ese es el principal motivo de demora en este método, no una limitación de la CA.
Método correo: a qué direcciones se envía¶
La CA envía un correo de confirmación a un conjunto predefinido de direcciones administrativas del dominio, como:
O al correo de contacto registrado en el WHOIS del dominio, cuando está disponible públicamente. El solicitante hace clic en el enlace de confirmación recibido, y la validación se completa inmediatamente después del clic.
Punto de atención: si ninguna de esas direcciones está activa o monitoreada, el método falla silenciosamente hasta que alguien revise la casilla — el método DNS suele ser más confiable cuando no hay certeza de que esas casillas se revisan con regularidad.
Método carga de archivo: cuándo usarlo¶
La CA entrega un archivo con un nombre y contenido específicos, que debe publicarse en una ruta predeterminada del servidor web, generalmente:
La CA accede a esa URL vía HTTP y confirma el contenido. Es una buena alternativa cuando tiene acceso al servidor web pero no un acceso rápido al panel de DNS — por ejemplo, DNS administrado por otro equipo o proveedor.
Qué cambia para OV y EV¶
Para certificados DV, el DCV es la única verificación — confirmado el control del dominio, la emisión es prácticamente inmediata.
Para OV y EV, el DCV sigue siendo obligatorio, pero es solo la primera etapa. La CA suma una verificación adicional de la existencia legal de la empresa, mediante:
- consulta a registros gubernamentales/empresariales (identificación fiscal, cámara de comercio o equivalente);
- confirmación telefónica en algunos casos, para EV;
- verificación adicional de identidad del solicitante, para EV.
Por eso OV toma de 1 a 3 días hábiles y EV de 3 a 5 días hábiles para emitirse, mientras que DV puede salir en minutos — el dominio se valida de la misma forma en los tres casos, pero OV y EV agregan la verificación de la empresa por encima.
Por qué el DCV se repite con más frecuencia¶
Una CA puede, dentro de ciertos límites, reaprovechar una validación de dominio ya realizada en lugar de repetir el DCV completo en cada emisión. El CA/Browser Forum redujo drásticamente ese plazo de reaprovechamiento: de 398 días a solo 10 días para la validación de dominio (la validación de existencia de la empresa en OV/EV permanece en 398 días por ahora).
En la práctica, esto significa que casi toda reemisión — incluso dentro de una suscripción de varios años con reemisión automática — necesita repetir el DCV, porque la validación anterior ya no está dentro de la ventana de reaprovechamiento. Los entornos que dependen del método DNS con API automatizada sienten menos este impacto: el registro se recrea y confirma sin intervención manual en cada ciclo. Los entornos que validan por correo o carga manual de archivo van a necesitar repetir esa acción cada pocos meses, no una vez al año.
Cómo InteSys acompaña el proceso hasta la emisión¶
Al solicitar un certificado con InteSys, nuestro equipo:
- identifica el método de DCV más adecuado para su entorno (DNS en la mayoría de los casos);
- entrega el registro, dirección de correo o archivo exigido por la CA;
- hace seguimiento de la propagación/confirmación hasta que la CA reconoce la validación;
- para OV/EV, orienta sobre la documentación adicional que la CA pueda solicitar;
- entrega el certificado emitido, listo para instalación.
Usted no queda solo editando registros DNS ni interpretando exigencias de la CA — la validación hoy todavía pasa por estas etapas manuales, pero conducidas junto con nuestro equipo.
Próximos Pasos¶
- Certificados SSL — visión general de los tipos disponibles
- Elegir un Certificado — DV, OV, EV, Wildcard o Multi-Dominio
- Instalando tu Certificado — qué hacer después de que el certificado se emite