# ¿Se puede interceptar el tráfico HTTPS con un ataque de intermediario?

Solo si se consigue que el cliente confíe en el interceptor. Un ataque de intermediario (man in the middle) contra HTTPS necesita un certificado que el cliente acepte para el nombre de destino, un usuario que ignore el aviso o una aplicación que no compruebe bien los certificados. Las empresas lo hacen a propósito con proxies de inspección TLS, instalando su propio certificado raíz en los equipos gestionados. Los atacantes intentan lo mismo colando un certificado raíz falso mediante malware, convenciendo a los usuarios de aceptar avisos o aprovechando aplicaciones con comprobaciones de certificado defectuosas. Defensas: no acostumbre nunca al personal a saltarse los avisos de certificado, controle qué certificados raíz están instalados en los equipos de la empresa, mantenga las aplicaciones al día y use HTTP Strict Transport Security (HSTS) en sus webs para que los navegadores rechacen las conexiones sin cifrar. La fijación de certificados en algunas aplicaciones rechaza cualquier interceptor, incluido su propio proxy. En TLS 1.3 el certificado del servidor va cifrado, así que un sensor de red pasivo no puede comprobar quién lo emitió; esa comprobación corresponde al equipo o a los registros del proxy.

FAQ: [Cifrado y tráfico cifrado](https://netsenx.com/es/faq/encryption) · https://netsenx.com/es/faq/can-https-traffic-be-intercepted

## Siga leyendo

- https://netsenx.com/es/encrypted-traffic-analysis
- https://netsenx.com/es/what-is-ndr

## Preguntas relacionadas

- [¿Qué es la huella TLS JA4?](https://netsenx.com/es/faq/what-is-ja4-tls-fingerprinting)
- [¿Qué diferencia hay entre JA3 y JA4?](https://netsenx.com/es/faq/what-is-the-difference-between-ja3-and-ja4)
- [¿Qué es SNI y por qué importa para la supervisión?](https://netsenx.com/es/faq/what-is-sni-and-why-does-it-matter-for-monitoring)
- [¿Qué es Encrypted Client Hello (ECH)?](https://netsenx.com/es/faq/what-is-encrypted-client-hello)
- [¿Deja ciega Encrypted Client Hello a la supervisión de red?](https://netsenx.com/es/faq/does-encrypted-client-hello-blind-network-monitoring)