¿Qué es AWS Certificate Manager?

AWS Certificate Manager (ACM) es un servicio que le permite aprovisionar, administrar e implementar fácilmente certificados públicos y privados de seguridad de la capa de sockets y de la capa de transporte (SSL/TLS) para usarlos con los servicios de AWS y sus recursos internos conectados. Los certificados SSL/TLS se usan para proteger las comunicaciones de red y establecer la identidad de los sitios web en Internet, así como los recursos en las redes privadas. ACM elimina el arduo proceso manual de compra, carga y renovación de los certificados SSL/TLS. Con AWS Certificate Manager puede solicitar rápidamente un certificado, implementarlo en los recursos de AWS como equilibradores de carga elásticos, distribuciones de Amazon CloudFront, o bien en alguna API en API Gateway, y dejar que ACM se ocupe de renovar los certificados. También le permite crear certificados privados para sus recursos internos y administrar el ciclo de vida de los certificados de manera centralizada. Los certificados de SSL/TLS públicos y privados aprovisionados a través de ACM y usados exclusivamente con los servicios integrados con ACM, como Elastic Load Balancing, Amazon CloudFront y Amazon API Gateway, son gratuitos. Solo paga por los recursos de AWS que cree para ejecutar su aplicación. Usted paga una cuota mensual por el funcionamiento de cada CA privada hasta que la elimine y por los certificados privados que emita y que no se utilicen exclusivamente con servicios integrados con ACM .

¿Qué es un certificado SSL/TLS?

Los certificados de SSL/TLS permiten a los navegadores web identificar y establecer conexiones de red cifradas con sitios web mediante el protocolo de capa de conexión segura/seguridad de la capa de transporte (SSL/TLS). Los certificados se emiten con un sistema criptográfico conocido como infraestructura de claves públicas (PKI). PKI permite que una parte establezca la identidad de otra parte mediante el uso de certificados si ambos confían en un tercero, conocido como autoridad de certificación. Puede consultar el tema Conceptos de la Guía del usuario de ACM para conocer más definiciones y obtener más información.

¿Qué son los certificados privados?

Los certificados privados identifican recursos dentro de una organización, como aplicaciones, servicios, dispositivos y usuarios. Al definir un canal de comunicación cifrado seguro, cada punto de enlace utiliza un certificado y técnicas criptográficas para demostrar su identidad a otro punto de enlace. Los puntos de enlace de API internos, los servidores web, los usuarios de VPN, los dispositivos con IoT y muchas otras aplicaciones usan los certificados privados para definir canales de comunicación cifrados que son necesarios para un funcionamiento seguro.

¿Cuál es la diferencia entre los certificados públicos y privados?

Tanto los certificados públicos como los privados ayudan a los clientes a identificar recursos en redes y a proteger la comunicación entre estos recursos. Los certificados públicos identifican recursos en el Internet público, mientras que los certificados privados hacen lo mismo en las redes privadas. Una diferencia clave es que las aplicaciones y los navegadores confían automáticamente en los certificados públicos de manera predeterminada, mientras que un administrador debe configurar explícitamente las aplicaciones para que confíen en los certificados privados. Las CA públicas, las entidades que emiten los certificados públicos, deben respetar normas estrictas, proporcionar visibilidad operativa y cumplir estándares de seguridad impuestos por los proveedores de sistemas operativos y navegadores, quienes deciden en qué CA confiarán automáticamente sus navegadores y sistemas operativos. La administración de las CA privadas está a cargo de organizaciones privadas y los administradores de CA privadas pueden crear sus propias normas para la emisión de certificados privados, incluidas prácticas para la emisión de certificados y qué información deben incluir estos.

¿Cuáles son las ventajas de utilizar AWS Certificate Manager (ACM)?

ACM facilita la habilitación de SSL/TLS en un sitio web o aplicación en la plataforma de AWS. ACM elimina muchos de los procesos manuales asociados anteriormente con el uso y la administración de certificados de SSL/TLS. Al administrar las renovaciones, ACM también lo ayuda a evitar el tiempo de inactividad debido a certificados configurados erróneamente, revocados o caducados. Se beneficia de la protección de SSL/TLS y de la sencillez en la administración de certificados. Activar SSL/TLS en sitios conectados a Internet puede ayudar a mejorar las clasificaciones de búsqueda de su sitio web y ayudarlo a cumplir los requisitos de conformidad normativa para el cifrado de datos en tránsito. Cuando usa ACM para administrar certificados, las claves privadas de los certificados se protegen y almacenan de forma segura mediante prácticas recomendadas de cifrado complejo y administración de claves. ACM le permite usar la consola de administración de AWS, la AWS CLI y las API de ACM para administrar de manera centralizada todos los certificados de ACM para SSL/TLS en una región de AWS. ACM se integra con otros servicios de AWS para que pueda solicitar un certificado SSL/TLS y aprovisionarlo en su balanceador de carga de Elastic Load Balancing o distribución de Amazon CloudFront a través de la consola de administración de AWS, los comandos de la CLI de AWS o llamadas a las API.

¿Qué tipos de certificados puedo administrar con ACM?

ACM le permite administrar el ciclo de vida de sus certificados públicos y privados. Las capacidades de ACM dependen de si el certificado es público o privado, la forma en que lo obtiene y dónde lo implementa. Certificados públicos : puede solicitar certificados públicos emitidos por Amazon en ACM. ACM administra la renovación e implementación de certificados públicos que se usan con servicios integrados con ACM, incluidos Amazon CloudFront, Elastic Load Balancing y Amazon API Gateway. Certificados privados : puede optar por delegar la administracoón de certificados privados a ACM. Cuando se usa este método, ACM puede renovar e implementar automáticamente certificados privados que se usen con servicios integrados con ACM, incluidos Amazon CloudFront, Elastic Load Balancing y Amazon API Gateway. Puede implementar fácilmente estos certificados con la consola de administración, las API y la interfaz de línea de comandos (CLI) de AWS. Puede exportar certificados privados desde ACM y usarlos con instancias EC2, contenedores, servidores que se encuentren en las instalaciones y dispositivos con IoT. AWS Private CA renueva automáticamente estos certificados y envía una notificación de Amazon CloudWatch una vez finalizada la renovación. Puede escribir código del lado del cliente para descargar las claves privadas y los certificados renovados e implementarlos en su aplicación. Certificados importados: si desea usar un certificado de terceros con Amazon CloudFront, Elastic Load Balancing o Amazon API Gateway, debe importarlo en ACM con la consola de administración de AWS, la AWS CLI o las API de ACM. ACM no puede renovar certificados importados, pero puede ayudarlo a administrar el proceso de renovación. Es responsable de monitorear la fecha de vencimiento de los certificados importados y de su renovación oportuna. Puede usar las métricas de ACM CloudWatch para monitorear las fechas de vencimiento de los certificados importados e importar un certificado de terceros nuevo para reemplazar a uno que está a punto de vencerse.

¿Cómo puedo empezar a usar ACM?

Para empezar a usar ACM, vaya a Certificate Manager en la consola de administración de AWS y use el asistente para solicitar un certificado de SSL/TLS. Si ya creó una CA privada, puede elegir un certificado público o privado, y luego ingresar el nombre de su sitio. También puede solicitar un certificado mediante la CLI o las API de AWS. Una vez emitido el certificado, puede usarlo con otros servicios de AWS que estén integrados en ACM. Para cada servicio integrado, basta con seleccionar el certificado de SSL/TLS que desee del menú desplegable en la consola de administración de AWS. Si lo prefiere, puede ejecutar un comando de la interfaz de línea de comandos (CLI) de AWS o llamar a una API de AWS para asociar el certificado con su recurso. A continuación, el servicio integrado implementará el certificado en el recurso que haya seleccionado. Para obtener más información sobre cómo solicitar y usar certificados que proporciona ACM, consulte la Guía del usuario de ACM . Además de usar los certificados privados con los servicios integrados con ACM, también puede usarlos en instancias de EC2, contenedores de ECS o en cualquier otro recurso.

¿Con qué servicios de AWS puedo usar certificados de ACM?

• Elastic Load Balancing: consulte la documentación de Elastic Load Balancing • Amazon CloudFront: consulte la documentación de CloudFront • Amazon API Gateway: consulte la documentación de API Gateway • AWS CloudFormation: la compatibilidad actual se limita a certificados públicos y privados emitidos por ACM. Consulte la documentación de AWS CloudFormation • AWS Elastic Beanstalk: consulte la documentación de AWS Elastic Beanstalk • AWS Nitro Enclaves: consulte la documentación de AWS Nitro Enclaves

¿En qué regiones está disponible ACM?

Visite las páginas sobre la infraestructura global de AWS para consultar la disponibilidad actual por regiones de los servicios de AWS. Para utilizar un certificado de ACM con Amazon CloudFront, debe solicitar o importar el certificado en la región EE.UU. Este (Norte de Virginia). Los certificados ACM de esta región asociados con una distribución de CloudFront se distribuyen en todas las ubicaciones geográficas configuradas para dicha distribución.

¿Qué tipos de certificados administra ACM?

ACM administra certificados públicos, privados e importados. Obtenga más información sobre las capacidades de ACM en la documentación Emisión y administración de certificados .

¿Puede ACM proporcionar certificados con varios nombres de dominio?

Sí. Cada certificado debe incluir al menos un nombre de dominio. Si lo desea, puede añadir nombres adicionales al certificado. Por ejemplo, puede añadir el nombre “www.ejemplo.net” a un certificado de “www.example.com” si los usuarios pueden acceder a su sitio con ambos nombres. Debe poseer o controlar todos los nombres incluidos en la solicitud de certificado.

¿Qué es un nombre de dominio comodín?

Un nombre de dominio comodín coincide con cualquier nombre de host o subdominio de primer nivel en un dominio. Un subdominio de primer nivel es una única etiqueta de nombre de dominio que no contiene un punto. Por ejemplo, puede usar el nombre *.example.com para proteger www.example.com, images.example.com, así como cualquier otro subdominio o nombre de host de primer nivel que termine con .example.com. Obtenga más información en la Guía del usuario de ACM .

¿Cuál es el periodo de validez de los certificados de ACM?

La validez de los certificados emitidos a través de ACM es de 13 meses (395 días). Si emite certificados privados directamente desde una CA privada y administra las claves y certificados sin usar ACM para esto, puede elegir cualquier período de validez, incluida una fecha de finalización absoluta o un tiempo relativo que sea de días, meses o años a partir del momento actual.

¿Qué algoritmos usan los certificados emitidos por ACM?

De forma predeterminada, los certificados emitidos en ACM usan claves RSA con un módulo de 2048 bits y SHA-256. Además, puede solicitar certificados con algoritmos de firma digital de curva elíptica (ECDSA) con P-256 o P-384. Obtenga más información sobre algoritmos en la Guía del usuario de ACM .

¿Cómo puedo revocar un certificado?

Para solicitar que ACM revoque un certificado público, visite el centro de AWS Support y abra un caso. Para revocar un certificado privado emitido por AWS Private CA, consulte la Guía del usuario de AWS Private CA .

¿Puedo usar el mismo certificado de ACM en más de una región de AWS?

No. Los certificados de ACM deben usarse dentro de la misma región donde se encuentra el recurso en el que se usan. La única excepción es Amazon CloudFront, un servicio global que requiere certificados en la región Este de EE. UU. (Norte de Virginia). Los certificados ACM de esta región asociados con una distribución de CloudFront se distribuyen en todas las ubicaciones geográficas configuradas para dicha distribución.

¿Puedo utilizar certificados en las instancias de Amazon EC2 o en mis propios servidores?

Puede utilizar certificados privados emitidos con Private CA con instancias EC2, contenedores y en sus propios servidores. En este momento, los certificados públicos de ACM solo se pueden emplear con servicios de AWS específicos, incluido AWS Nitro Enclaves. Consulte Integraciones de servicios de ACM

¿ACM admite los caracteres de idiomas locales en los nombres de dominio, también conocidos como nombres de dominio internacionalizados (IDN)?

ACM no permite el uso de caracteres Unicode de los idiomas locales. En su lugar, admite caracteres ASCII de los idiomas locales en los nombres de dominio.

¿Qué formatos de etiquetas de nombres de dominio admite ACM?

ACM solo admite ASCII con codificación UTF-8 en los nombres de dominio, incluidas etiquetas que contienen “xn–”, conocidas comúnmente como Punycode. ACM no acepta Unicode (etiquetas u) en los nombres de dominio.

¿Puedo importar un certificado de terceros y usarlo con los servicios de AWS?

Sí. Si desea utilizar un certificado de terceros con Amazon CloudFront, Elastic Load Balancing o Amazon API Gateway, debe importarlo en ACM con la consola de administración de AWS, la interfaz de línea de comandos (CLI) de AWS o las API de ACM. ACM no administra el proceso de renovación de certificados importados. Puede utilizar la consola de administración de AWS para monitorear las fechas de vencimiento de los certificados importados e importar un certificado de un tercero que reemplace a uno que está a punto de caducar.

¿Qué son los certificados públicos?

Tanto los certificados públicos como los privados ayudan a los clientes a identificar recursos en redes y a proteger la comunicación entre estos recursos. Los certificados públicos identifican recursos en Internet.

¿Qué tipo de certificados públicos proporciona ACM?

ACM proporciona certificados públicos de dominio validado (DV) para su uso con sitios web y aplicaciones al final de la conexión SSL/TLS. Para obtener más información sobre los certificados de ACM, consulte Certificate Characteristics (Características de los certificados).

¿Los navegadores, sistemas operativos y dispositivos móviles confían en los certificados públicos de ACM?

La mayoría de los navegadores, sistemas operativos y dispositivos móviles modernos confía en los certificados públicos de ACM. Los certificados proporcionados por ACM son compatibles con el 99% de los navegadores y sistemas operativos, incluidos Windows XP SP3 y Java 6 y versiones posteriores.

¿De qué manera puedo comprobar que mi navegador confía en los certificados públicos de ACM?

Los navegadores que confían en certificados de ACM muestran el ícono de un candado y no emiten avisos de certificado cuando se conectan a sitios que utilizan certificados de ACM a través de SSL/TLS, por ejemplo, mediante el uso de HTTPS. La autoridad de certificados (certificate authority, CA) de Amazon es la encargada de verificar los certificados de ACM públicos. Cualquier navegador, aplicación o sistema operativo que incluya la autorización Amazon Root CA 1, Amazon Root CA 2, Amazon Root CA 3, Amazon Root CA 4, Starfield Services Root Certificate Authority: G2 confía en los certificados de ACM. Para obtener más información sobre las CA raíz, visite el repositorio de Amazon Trust Services .

¿Dónde describe Amazon sus políticas y prácticas de emisión de certificados públicos?

Se detallan en los documentos Amazon Trust Services Certificate Policies y Amazon Trust Services Certification Practices Statement. Consulte el repositorio de Amazon Trust Services para consultar las versiones más recientes.

¿El certificado de www.example.com sirve para example.com?

Si desea hacer referencia a su sitio con ambos nombres de dominio (www.example.com y example.com), debe solicitar un certificado que incluya los dos nombres.

¿Cómo puede ACM ayudar a mi organización a cumplir con los requisitos de conformidad?

El uso de ACM lo ayuda a cumplir con los requisitos reglamentarios, al facilitar la protección de las conexiones, requisito común de numerosos programas de conformidad, como PCI, FedRAMP e HIPAA. Para obtener información específica sobre conformidad, consulte http://aws.amazon.com/compliance.

¿ACM proporciona un sello de sitio seguro o un logotipo de confianza que pueda mostrar en mi sitio web?

No. Si desea utilizar un sello de sitio, puede obtenerlo a través de un distribuidor tercerizado. Le aconsejamos que elija un distribuidor que evalúe y garantice la seguridad de su sitio, de sus prácticas empresariales, o de ambos.

¿Amazon permite utilizar sus marcas comerciales o logotipo como insignia de certificado, sello de sitio o logotipo de confianza?

No. Los sellos e insignias de este tipo podrían copiarse en sitios que no utilicen el servicio ACM y usarse de forma indebida para generar confianza con falsos pretextos. Con el fin de proteger a nuestros clientes y la reputación de Amazon, no permitimos dicho uso de nuestro logotipo.

¿Cómo puedo aprovisionar un certificado público de ACM?

Puede utilizar la consola de administración de AWS, la interfaz de línea de comandos (CLI) de AWS o las API o SDK de ACM. Si desea utilizar la consola de administración de AWS, diríjase a Certificate Manager (Administrador de certificados), elija Request a certificate (Solicitar un certificado), seleccione Request a public certificate (Solicitar un certificado público), escriba el nombre de dominio de su sitio y siga las instrucciones en pantalla para completar la solicitud. Puede añadir nombres de dominio adicionales a su solicitud si los usuarios pueden acceder a su sitio utilizando otros nombres. Para poder emitir un certificado, ACM valida que usted posee o controla los nombres de dominio de su solicitud de certificado. Puede elegir entre la validación de DNS o por correo electrónico al solicitar un certificado. Con la validación de DNS, usted escribe un registro en la configuración pública de DNS de su dominio para establecer que posee o controla el dominio. Desde la primera vez que utilice la validación de DNS para establecer el control de su dominio, puede obtener más certificados y hacer que ACM renueve certificados existentes del dominio, siempre que el registro siga en vigor y el certificado, en uso. No hace falta que vuelva a validar el control del dominio. Si elige la validación por correo electrónico en lugar de la de DNS, se envían correos electrónicos al propietario del dominio solicitando aprobación para emitir el certificado. Tras validar que posee o controla cada nombre de dominio de su solicitud, se emite el certificado, que está listo para aprovisionarse con otros servicios de AWS, como Elastic Load Balancing o Amazon CloudFront. Consulte la documentación de ACM para obtener más información.

¿Por qué ACM valida la propiedad del dominio en los certificados públicos?

Los certificados se usan para establecer la identidad del sitio y proteger las conexiones entre los navegadores y las aplicaciones y su sitio. Para emitir un certificado de confianza pública, Amazon debe validar que el solicitante del certificado tenga el control del nombre de dominio de la solicitud de certificado.

¿Cómo valida ACM la propiedad del dominio antes de emitir el certificado público de un dominio?

Antes de emitir un certificado, ACM valida que posee o controla los nombres de dominio de su solicitud de certificado. Puede elegir entre la validación de DNS o por correo electrónico al solicitar un certificado. Con la validación de DNS, puede validar la propiedad del dominio añadiendo un registro CNAME en su configuración de DNS. Consulte la validación de DNS para obtener más información. Si no tiene la capacidad de escribir registros en la configuración pública de DNS de su dominio, puede emplear la validación por correo electrónico en lugar de la de DNS. Con la validación por correo electrónico, ACM envía correos electrónicos al propietario del dominio registrado; y el propietario o un representante autorizado pueden aprobar la emisión de los nombres de dominio de la solicitud de certificado. Consulte la validación por correo electrónico para obtener más información.

¿Qué método de validación debería usar para mi certificado público: DNS o correo electrónico?

Le aconsejamos que utilice la validación de DNS si tiene la capacidad de cambiar la configuración de DNS de su dominio. Los clientes que no puedan recibir correos electrónicos de validación de ACM y aquellos que utilicen un registrador de dominios que no publique información de contacto electrónico del propietario del dominio en WHOIS deben emplear la validación de DNS. Si no puede modificar la configuración de DNS, deberá emplear la validación por correo electrónico.

¿Puedo convertir un certificado público existente de una validación por correo electrónico en una validación de DNS?

No, pero puede solicitar un certificado nuevo y gratuito desde ACM y elegir la validación de DNS para el nuevo.

¿Cuánto tarda la emisión de un certificado público?

El plazo para emitir un certificado tras validar todos los nombres de dominio de la solicitud de certificado puede ser de varias horas o más.

¿Qué sucede cuando solicito un certificado público?

ACM intenta validar la propiedad o el control de cada nombre de dominio de la solicitud de certificado mediante el método de validación que eligiera (DNS o correo electrónico) al realizar la solicitud. El estado de la solicitud de certificado es Validación pendiente mientras ACM intenta validar que posee o controla el dominio. Consulte las siguientes secciones sobre validación de DNS y validación por correo electrónico para obtener más información sobre el proceso de validación. Tras validar todos los nombres de dominio de la solicitud de certificado, el plazo para emitir certificados puede ser de varias horas o más. Cuando se emite el certificado, el estado de la solicitud de certificado cambia a Issued (Emitido), y puede comenzar a utilizarlo con otros servicios de AWS que estén integrados con ACM.

¿Comprueba ACM los registros de la Autorización de la autoridad de certificación (CAA) en el sistema de nombres de dominio (DNS) antes de emitir certificados públicos?

Sí. Los registros de la Autorización de la autoridad de certificación (CAA) en el sistema de nombres de dominio (DNS) permiten a los propietarios de dominios especificar las entidades de certificación que están autorizadas a emitir los certificados de sus dominios. Cuando se solicita un certificado ACM, AWS Certificate Manager busca un registro de la CAA en la configuración de la zona DNS correspondiente al dominio. Si no existe ningún registro de la CAA, Amazon puede emitir el certificado del dominio. La mayoría de los clientes están dentro de esta categoría. Si la configuración de DNS contiene un registro de la CAA, en ese registro debe especificarse uno de los nombres de entidad de certificación siguientes para que Amazon pueda emitir el certificado del dominio: amazon.com, amazontrust.com, awstrust.com o amazonaws.com. Consulte Configuración de un registro de CAA o Solución de problemas con la autorización de la entidad de certificación (CAA) en la guía del usuario de AWS Certificate Manager para obtener más información.

¿Qué es la validación de DNS?

Con la validación de DNS, puede validar su propiedad de un dominio añadiendo un registro CNAME a su configuración de DNS. La validación de DNS le facilita la tarea de establecer que posee un dominio al solicitar certificados públicos de SSL/TLS desde ACM.

¿Qué beneficios reporta la validación de DNS?

La validación de DNS le facilita la tarea de validar que posee o controla un dominio para poder obtener un certificado de SSL/TLS. Con la validación de DNS, basta con escribir un registro CNAME en la configuración de DNS para establecer el control de su nombre de dominio. Para simplificar el proceso de validación de DNS, la consola de administración de ACM puede configurar sus registros DNS si usted los administra con Amazon Route 53. De este modo, resulta más fácil establecer el control de su nombre de dominio con tan solo unos clics. Una vez configurado el registro CNAME, ACM renueva de forma automática los certificados que estén en uso (asociados con otros recursos de AWS), siempre que el registro DNS de validación siga en vigor. Las renovaciones son completamente automáticas y sin contacto.

¿Quién debe utilizar la validación de DNS?

Todo aquel que solicite un certificado mediante ACM y tenga la capacidad de cambiar la configuración de DNS del dominio que soliciten debe plantearse el uso de la validación de DNS.

¿Admite ACM todavía la validación por correo electrónico?

Sí. ACM sigue admitiendo la validación por correo electrónico para los clientes que no puedan cambiar la configuración de DNS.

¿Qué registros tengo que añadir a la configuración de DNS para validar un dominio?

Debe añadir un registro CNAME en el dominio que desee validar. Por ejemplo, para validar el nombre www.example.com, debe agregar un registro CNAME a la zona de example.com. El registro que agregue debe contener un token único que ACM genera al azar específicamente para su dominio y su cuenta de AWS. Puede obtener las dos partes del registro CNAME (nombre y etiqueta) desde ACM. Para obtener más instrucciones, consulte la guía del usuario de ACM.

Seguridad, identidad y conformidad›
AWS Certificate Manager›
Preguntas frecuentes

Preguntas frecuentes sobre AWS Certificate Manager

Pasos siguientes

Solución de AWS

Más información sobre AWS Private Certificate Authority

Visite la página

Console

Comience a crear con AWS Certificate Manager en la consola de administración de AWS

Comenzar a crear en la consola

Preguntas frecuentes sobre AWS Certificate Manager

Temas de la página

Pasos siguientes

Más información sobre AWS Private Certificate Authority

Comience a crear con AWS Certificate Manager en la consola de administración de AWS

Finalización de la compatibilidad con Internet Explorer