Cifrado poscuántico y su sitio web: una revisión práctica
¿Dónde toca el cifrado poscuántico a su sitio web? Una revisión de TLS 1.3 tranquila y práctica para el sitio de una empresa, sin alarmas ni jerga.
Equipo de rabbitclipPublicación: 6 min. de lectura
En breve
Cifrado poscuántico es el nombre de unos métodos nuevos creados por si los ordenadores cuánticos rompen algún día el cifrado actual. Para el sitio de una empresa, el significado práctico no es un gran proyecto sino una comprobación: ¿está activado TLS 1.3? Si lo está y el navegador del visitante lo admite, el intercambio de claves poscuántico suele activarse solo, sin que usted haga nada más. En un sitio detrás de Cloudflare funciona exactamente así.
Según la publicación de Cloudflare del 29 de septiembre de 2026, el lado del navegador ya se ha extendido mucho; lo que queda está en el lado del servidor. Así que la pregunta no es si reservar un presupuesto para prepararse para el futuro, sino si su configuración actual se interpone en este soporte.
A continuación encontrará dónde toca el cifrado poscuántico a su sitio, las cifras que publicó Cloudflare, cómo comprobarlo, los errores más habituales y los casos en los que no necesita dedicarle tiempo en absoluto.
¿Dónde toca el cifrado poscuántico a un sitio web?
Cuando un visitante se conecta a su sitio por https, el navegador y el servidor acuerdan primero una clave secreta compartida; a eso se le llama intercambio de claves. El cifrado poscuántico apunta a ese paso. El método de la publicación de Cloudflare es un híbrido: el método actual X25519 trabaja junto con el nuevo método ML-KEM (X25519MLKEM768). Si uno resulta ser inesperadamente débil, el otro sigue en pie.
Esto no cambia su contenido, sus páginas ni su base de datos. Lo que cambia es cómo se realiza el saludo inicial entre navegador y servidor. Eso lo convierte menos en un trabajo de diseño web o de software y más en una cuestión de ajustes de infraestructura.
¿Qué muestran las cifras de Cloudflare?
La publicación de Cloudflare del 29 de septiembre de 2026, basada en datos de Cloudflare Radar, dice que aproximadamente el 70 por ciento del tráfico de navegadores usa el intercambio de claves híbrido ML-KEM. En los servidores de origen a los que se conecta Cloudflare, las máquinas donde el sitio está alojado en realidad, la proporción es de aproximadamente el 15 por ciento.
Esa diferencia dice algo práctico: el lado del visitante está en gran parte listo y el del servidor aún no. Las cifras pertenecen al tráfico propio de Cloudflare; no reflejan a Turquía ni a su propio sitio. Aun así muestran dónde está el eslabón que falta.
- Aproximadamente el 70 por ciento del tráfico de navegadores usa ML-KEM híbrido
- Solo aproximadamente el 15 por ciento de los servidores de origen lo hace
- Las cifras describen la red propia de Cloudflare, no todos los sitios
¿Cómo se hace una revisión práctica de su sitio?
Si usa Cloudflare, el primer lugar donde mirar es el ajuste Edge Certificates dentro de SSL/TLS; TLS 1.3 debería estar activado. Según la publicación de Cloudflare, si el navegador del visitante lo admite, Cloudflare elige por sí mismo el intercambio de claves poscuántico, y no hay un ajuste aparte para ello.
Hay dos maneras de ver lo que ocurre de verdad. La pestaña Security de Chrome DevTools muestra el algoritmo de intercambio de claves de una conexión. Del lado de Cloudflare, ha aparecido una tarjeta nueva TLS Key Exchange Groups en HTTP Traffic Analytics, junto con los campos ClientTLSKeyExchangeGroup y OriginTLSKeyExchangeGroup en Logpush y Log Explorer. Si no usa Cloudflare, puede revisar el estado general de seguridad de su sitio con la comprobación de seguridad de rabbitclip.
- Si TLS 1.3 está activado en SSL/TLS, Edge Certificates
- Si la pestaña Security de Chrome DevTools muestra el intercambio de claves
- La tarjeta TLS Key Exchange Groups en HTTP Traffic Analytics
- Los campos ClientTLSKeyExchangeGroup y OriginTLSKeyExchangeGroup en Logpush y Log Explorer
- Preguntar a su empresa de hosting si el servidor admite TLS 1.3
¿Qué pasa si el servidor de origen no lo admite?
La recomendación de Cloudflare, si su servidor de origen no admite este intercambio de claves, es usar Cloudflare Tunnel. El túnel establece la conexión entre Cloudflare y su servidor. Para la configuración detallada necesita la documentación de Cloudflare; aquí solo transmitimos la recomendación citada en la publicación.
Hay movimiento también en los certificados. El 29 de septiembre de 2026 Cloudflare expuso un plan para una autoridad de certificación poscuántica basada en Merkle Tree Certificates y escribió que emitiría certificados gratuitos. El 1 de octubre de 2026 anunció compatibilidad nativa de Web Crypto con ML-KEM y ML-DSA en Workers, como función opcional. Son un plan y una función para desarrolladores; no los trate como trabajo pendiente hoy en el sitio de una empresa.
¿Qué errores son habituales aquí?
El error más común es ignorar el tema por completo o entrar en pánico y comprar una consultoría cara. Ninguna de las dos cosas hace falta. El tercero es no acordarse de un ajuste que desactivó TLS 1.3 hace años, quizá por una antigua instrucción de seguridad.
Otro es confundir el cifrado poscuántico con la renovación del certificado. El vencimiento de su certificado es un asunto aparte, y el cifrado poscuántico no lo cambia hoy.
- Ignorarlo o entrar en pánico por ello
- Comprar una consultoría cara
- No darse cuenta de un ajuste de TLS 1.3 desactivado hace años
- Confundir la renovación del certificado con el intercambio de claves
¿Cuándo es innecesario este trabajo o una mala elección?
Si su sitio no está detrás de Cloudflare ni de una red parecida y su panel de control solo lo tiene su empresa de hosting, el primer paso es preguntarle a esa empresa; no entre por su cuenta en los ajustes del servidor. Para un sitio de presentación con muy pocos visitantes y sin datos sensibles, gastar horas en esto también sería una mala prioridad.
Cloudflare escribe que apunta a 2029 para la seguridad poscuántica completa y se refiere a una propuesta del NIST para retirar RSA y ECC hacia 2030. Esas fechas son el relato de Cloudflare y una propuesta, no un calendario cerrado. Para hoy basta una revisión tranquila.
En resumen: asegúrese de que TLS 1.3 esté activado, pregunte a su empresa de hosting por su servidor de origen y no entre en pánico por el resto. El lado del visitante está en gran parte listo; el eslabón que falta está sobre todo en el lado del servidor. Si quiere repasar juntos los ajustes de su infraestructura, estaremos encantados de mantener con usted una conversación inicial tranquila en rabbitclip.
Preguntas frecuentes
¿Tengo que instalar algo en mi sitio para el cifrado poscuántico?
Detrás de Cloudflare, por lo general no. Según la publicación de Cloudflare, si TLS 1.3 está activado y el navegador del visitante lo admite, Cloudflare elige por sí mismo el intercambio de claves poscuántico. No hay un ajuste aparte.
¿Cómo averiguo si TLS 1.3 está activado?
En Cloudflare, mire en Edge Certificates dentro de la sección SSL/TLS. Si no usa Cloudflare, pregunte a su empresa de hosting. La pestaña Security de Chrome DevTools también muestra los detalles de una conexión.
¿Qué es ML-KEM?
Es un método de intercambio de claves para la era poscuántica. En la forma híbrida que describe Cloudflare, trabaja junto con el método actual X25519, y la combinación se escribe X25519MLKEM768.
¿Es una emergencia?
La publicación de Cloudflare no describe una emergencia; describe visibilidad y preparación. El paso razonable para el sitio de una empresa es comprobar TLS 1.3 y averiguar el estado del servidor de origen.
Fuentes
Los datos concretos de este artículo se basan en estas páginas oficiales; compruebe allí la situación actual.
