Cloudflare será CA pública con certificados post-cuánticos gratis

El 29 de sep­tiem­bre de 2026, Cloud­fla­re anun­ció que se con­ver­ti­rá enuna au­to­ri­dad cer­ti­fi­ca­do­ra (CA) pú­bli­ca, una de las pocas en­ti­da­des del mundo au­to­ri­za­das a fir­mar los cer­ti­fi­ca­dos TLS que pro­te­gen cada co­ne­xión HTTPS.

La nueva CA emi­ti­rá tanto cer­ti­fi­ca­dos clá­si­cos como Mer­kle Tree Cer­ti­fi­ca­tes (MTCs), el nuevo for­ma­to post-cuán­ti­co, y la emi­sión es­tán­dar de MTCs será gra­tui­ta, en línea con la tra­di­ción de la com­pa­ñía de ofre­cer la crip­to­gra­fía más fuer­te sin coste. La emi­sión en pro­duc­ción de MTCs está pre­vis­ta para el pri­mer tri­mes­tre de 2027, ali­nea­da con el re­cién lan­za­do Quan­tum-re­sis­tant RootS­to­re de Chro­me.

Cloud­fla­re y Goo­gle ade­lan­ta­ron a 2029 su ob­je­ti­vo de se­gu­ri­dad post-cuán­ti­ca com­ple­ta. Para en­ton­ces, los ex­per­tos es­ti­man que un or­de­na­dor cuán­ti­ca­men­te re­le­van­te po­dría rom­per la crip­to­gra­fía de curva elíp­ti­ca (ECDSA-P256) que sos­tie­ne hoy la prác­ti­ca to­ta­li­dad del HTTPS. Matthew Prin­ce, CEO y co­fun­da­dor de Cloud­fla­re, lo re­su­mió así: "Ac­tua­li­zar la se­gu­ri­dad de la web antes de que los compu­tado­res cuán­ti­cos pue­dan rom­per­la es uno de los ma­yo­res retos de coor­di­na­ción en la his­to­ria de In­ter­net".

Si se com­pa­ra esto con el eco­sis­te­ma tra­di­cio­nal de las au­to­ri­da­des de cer­ti­fi­ca­ción (CA), se ob­ser­va que las res­pon­sa­bi­li­da­des de una CA per­ma­ne­cen prác­ti­ca­men­te inal­te­ra­das: va­li­dar el con­trol de un do­mi­nio, vin­cu­lar­lo a una clave pú­bli­ca y emi­tir cer­ti­fi­ca­dos.

La di­fe­ren­cia prin­ci­pal ra­di­ca en que, en el eco­sis­te­ma MTC, en lugar de fir­mar cer­ti­fi­ca­dos di­rec­ta­men­te y luego re­gis­trar­los, la CA man­tie­ne un re­gis­tro de trans­pa­ren­cia res­pal­da­do por un árbol de Mer­kle; en este es­que­ma, una prue­ba de in­clu­sión que con­fir­ma la pre­sen­cia del cer­ti­fi­ca­do en el árbol actúa como ancla de con­fian­za. Asi­mis­mo, las CA ope­ran co­fir­man­tes de ré­pli­ca que al­ma­ce­nan una copia de los re­gis­tros de emi­sión, ve­ri­fi­can­do su con­sis­ten­cia de solo ane­xa­do y ga­ran­ti­zan­do la trans­pa­ren­cia y dis­po­ni­bi­li­dad de di­chos re­gis­tros para el eco­sis­te­ma en ge­ne­ral…