SSL.com usaba un método donde validaban el dominio si encontraban un correo en un registro TXT del DNS. Pero cometieron un error: si tú tenías control de midominio.com y ponías un correo como admin@paypal.com en el TXT, ellos asumían que tú también controlabas paypal.com 😱

💣 Esto permitió que personas obtuvieran certificados válidos para dominios de terceros, lo cual abre la puerta a suplantaciones de identidad, ataques MITM y fraudes.

🛑 Ya se desactivó este método y se está investigando, pero el caso nos recuerda lo delicado que es confiar en las validaciones automáticas cuando no se interpretan correctamente.

💡 Revisa siempre las fuentes de tus certificados y asegúrate de que cumplan buenas prácticas de seguridad.

📎 Lee el bug oficial aquí: https://bugzilla.mozilla.org/show_bug.cgi?id=1961406