SSL.com usaba un método donde validaban el dominio si encontraban un correo en un registro TXT del DNS. Pero cometieron un error: si tú tenías control de midominio.com y ponías un correo como admin@paypal.com en el TXT, ellos asumían que tú también controlabas paypal.com 😱

💣 Esto permitió que personas obtuvieran certificados válidos para dominios de terceros, lo cual abre la puerta a suplantaciones de identidad, ataques MITM y fraudes.

🛑 Ya se desactivó este método y se está investigando, pero el caso nos recuerda lo delicado que es confiar en las validaciones automáticas cuando no se interpretan correctamente.

💡 Revisa siempre las fuentes de tus certificados y asegúrate de que cumplan buenas prácticas de seguridad.

📎 Lee el bug oficial aquí: https://bugzilla.mozilla.org/show_bug.cgi?id=1961406

Imagínate que eres dueño de una pequeña página web en Perú, o que gestionas varios sitios. Ahora, en vez de tener que preocuparte de renovar certificados una vez al año, estarías pendiente de hacerlo cada 90 días. Esto implica no solo más recordatorios y alertas, sino también el riesgo de que un descuido provoque que tu página se quede sin el “candadito”. Y si eso pasa, tus visitantes podrían ver una advertencia de que tu sitio no es seguro.