Certificado SSL
Un certificado SSL (más exactamente, un certificado TLS) es un certificado digital con el que una autoridad de certificación (CA) acredita la identidad del operador del sitio web y con el que se cifra la comunicación entre el navegador y el servidor. A los sitios con un certificado válido se accede mediante una URL que empieza por https://, y al abrir el icono de la barra de direcciones (su aspecto varía según el navegador y la versión) se puede consultar el contenido del certificado.
Si el destino de un código QR es un sitio HTTP sin certificado SSL, surgen dos problemas. Primero, como la comunicación no se cifra, los datos personales o de tarjeta de crédito que el usuario introduzca tras el escaneo corren el riesgo de ser interceptados. Segundo, el navegador muestra el aviso «no es seguro», lo que genera inquietud en el usuario y provoca su abandono. Para garantizar la fiabilidad de un código QR, es imprescindible que el destino sea compatible con HTTPS.
Los certificados SSL tienen tres niveles de validación. El DV (Domain Validation) es el más básico y solo comprueba la propiedad del dominio; puede obtenerse gratis con Let's Encrypt. El OV (Organization Validation) verifica además la existencia real de la organización. El EV (Extended Validation) se emite tras la comprobación más estricta. Antes, el nombre de la empresa se mostraba de forma permanente en la barra de direcciones, pero Chrome 77 y Firefox 70 (ambos de 2019) trasladaron esa información a la página que se abre desde el icono de la barra de direcciones, de modo que ahora se consulta abriendo los detalles del certificado. Para los destinos de pago con código QR y los servicios financieros se recomienda un certificado OV o superior.
Desde el punto de vista de la protección frente al phishing, la mera existencia de un certificado SSL no garantiza la seguridad, ya que un atacante también puede obtener un certificado DV y montar un sitio de phishing con HTTPS. Por eso, tras escanear un código QR, es importante adquirir el hábito de comprobar si el nombre de dominio de la URL es el legítimo.