La adopción de HTTPS *se duplicó* este año

Aunque existe desde hace más de 20 años, HTTPS siempre tuvo una adopción muy limitada, hasta ahora. Los datos de 2 fuentes independientes muestran que la adopción de HTTPS se más que duplicó en el último año: un aumento sin precedentes y enorme en la adopción de este control de seguridad.

Las estadísticas de BuiltWith indican que la adopción de HTTPS se más que triplicó: pasó del 2.9% al 9.6% en un solo año. Los datos de HTTP Archive muestran una tendencia similar: la cantidad de sitios con HTTPS aumentó 2.3 veces, del 5.5% al 12.4%. Es importante tener en cuenta el plazo: en menos de un año se protegió la misma cantidad de sitios que antes había tomado 20 años proteger.

Son excelentes noticias para la web, tanto por el valor que aporta HTTPS como porque es poco común que la adopción de un control de seguridad crezca de forma tan visible. En esta publicación analizamos los datos, intentamos explicar qué impulsó este crecimiento y proponemos cómo podemos aprender de HTTPS para promover otras prácticas de seguridad.

Estadísticas de BuiltWith

La forma más fácil de dar seguimiento a HTTPS es BuiltWith, un portal que muestra la adopción de tecnologías en la web. BuiltWith tiene un informe llamado “SSL By Default”, que registra los sitios web que redirigen a los visitantes a HTTPS. El siguiente gráfico muestra estas estadísticas de los últimos años para los 1 millón y 10,000 sitios web más visitados. La siguiente imagen muestra la adopción de HTTPS en los 1 M de sitios principales, según BuiltWith:

Este gráfico muestra un crecimiento sorprendente en la adopción de HTTPS durante el último año. Entre el millón de sitios principales, la proporción pasó de ~2.9% en agosto pasado a 9.6% actualmente: ¡más del triple en 1 año! Entre los 10,000 sitios web principales, la adopción creció del 6.3% al 12.8% en el mismo periodo, es decir, más del doble.

También hay que tener en cuenta que la adopción de HTTPS suele ser mayor entre los sitios web más populares. Esto implica que la proporción de páginas visitadas con HTTPS es superior a la cantidad de sitios que lo habilitaron, ya que un sitio de primer nivel genera más tráfico que uno menos popular.

Estas estadísticas son impresionantes. De hecho, parecen demasiado buenas para ser ciertas, una impresión que se reforzó por la inusual caída en los informes de BuiltWith del mes pasado. Para corroborar las cifras, hagamos la misma pregunta con un conjunto de datos totalmente independiente: HTTP Archive.

Estadísticas de HTTP Archive

HTTP Archive, o HA para abreviar, es una iniciativa creada por Steve Souders para registrar con el tiempo de qué están hechos los sitios web. Lleva casi 6 años en funcionamiento; analiza una cantidad creciente de sitios web dos veces al mes y almacena las métricas de carga de sus páginas. Actualmente, HA analiza los 500,000 sitios web principales en cada lote.

Se pueden consultar los datos de HA con BigQuery (gracias a Ilya Grigorik) para extraer la lista de sitios web que redirigieron a HTTPS cada mes. El siguiente gráfico muestra el porcentaje de sitios web que redirigen a HTTPS entre los 500,000 sitios principales. La siguiente imagen muestra el rápido crecimiento de los sitios web con HTTPS (estadísticas de HTTP Archive):

Como puedes ver, la proporción de sitios web con HTTPS se más que duplicó en el último año: pasó del 5.5% a mediados de 2015 al 12.4% un año después, un crecimiento de 2.3 veces. Aunque es un poco menor que las cifras de BuiltWith, esta tasa de crecimiento es realmente asombrosa.

Nota técnica: HA cambió de IE a Chrome en marzo, lo que tuvo un impacto marginal en las cifras y podría explicar la leve caída en la adopción ese mes.

¿Cómo ocurrió?

Cuando algo sale mal, una buena práctica es realizar retrospectivas (¡sin buscar culpables!) para entender qué ocurrió y cómo evitar que vuelva a pasar. En este caso, nos convendría hacer lo mismo para entender por qué se está produciendo este aumento positivo y por qué ahora.

Responder estas preguntas puede ayudarnos a mantener el impulso y aplicar lo aprendido en otras áreas donde buscamos reforzar la seguridad. Estas son algunas de las principales razones que, en mi opinión, impulsaron este cambio.

Menores costos

Históricamente, migrar a HTTPS siempre fue una iniciativa costosa. Había que comprar certificados y pagar más por el hosting y la CDN… Estos costos se acumulaban, así que solo las empresas que realmente necesitaban o querían HTTPS seguían adelante.

Hoy puedes obtener un certificado gratis de Let’s Encrypt, muchos CDN incluyen la entrega de SSL/TLS (con Cloudflare a la cabeza) y plataformas como WordPress y GitHub Pages habilitan HTTPS de forma predeterminada, sin costo adicional.

Estos costos más bajos se deben, en parte, a la creciente demanda y, en parte, a que también disminuyeron los costos para los proveedores de plataformas. Sea cual sea el motivo, cuando migrar a HTTPS no es tan costoso, es más fácil que quienes impulsan el cambio logren llevarlo a cabo.

Mejores herramientas y recursos

Estas nuevas herramientas no solo abaratan la migración a HTTPS, sino que también la simplifican.

Let’s Encrypt facilita la generación automática de certificados, lo que permite a las plataformas generarlos para sus usuarios y a los equipos de operaciones crear uno para cada microservicio. SSLTest y el panel de seguridad de Chrome permiten verificar si la configuración es correcta. IsTlsFastYet explica cómo lograr que HTTPS sea rápido e indica qué plataformas admiten cada función.

Las mejores herramientas son un factor clave para reducir aún más los costos, ya que las personas suelen ser el componente más costoso de cualquier proyecto de TI. Si el esfuerzo y los costos son suficientemente bajos, un ingeniero entusiasta puede simplemente «hacerlo» y habilitar HTTPS sin tener que programarlo y priorizarlo en los planes.

Más incentivos

La seguridad, incluido HTTPS, consiste en reducir riesgos y, por desgracia, estos son invisibles. Con demasiada frecuencia, es difícil justificar incluso un día de trabajo si al final no puedes mostrar una mejora concreta en los resultados. Es mucho más fácil promover un cambio que permita agregar una función o lograr una mejora perceptible.

En el caso de HTTPS, hemos acumulado varios incentivos para ayudar a que los proyectos avancen. Los nuevos estándares web, como HTTP2, Geolocation y ServiceWorker, solo están disponibles con HTTPS, por lo que es un requisito previo para ciertas funciones. Google posiciona mejor los sitios web con HTTPS que los que usan HTTP, y las plataformas móviles exigen HTTPS de forma predeterminada para las API de aplicaciones nativas.

En algunos casos, estos incentivos motivan a las empresas que no están realmente convencidas de la importancia de la seguridad a migrar a HTTPS. En otros, les dan a quienes impulsan el cambio dentro de la empresa la justificación que necesitan para obtener las aprobaciones correspondientes.

Efecto de red

Por último, la web sigue siendo una red, y las acciones de un sitio web repercuten en otros. Cada vez que un sitio migra a HTTPS (y quizá incluso escribe sobre ello), es más probable que sus competidores también lo hagan; migrar un sitio a HTTPS exige que sus servicios de terceros también sean compatibles, lo que facilita que su próximo cliente dé el paso; y cuando suficientes sitios de una comunidad usan HTTPS, los demás sienten presión social para mejorar.

Creo que este último factor explica el ritmo cada vez más acelerado de la adopción de HTTPS. Es difícil poner en marcha el efecto de red, pero una vez que empieza a funcionar, cobra impulso de forma natural.

Resumen

Antes que nada, es un buen momento para celebrar.

Muchos de nosotros llevamos mucho tiempo promoviendo la seguridad en la web y, en particular, el uso de HTTPS. Estos datos demuestran que nuestros esfuerzos están dando frutos. Así que, si defendías el uso de HTTPS, ¡este es un buen momento para celebrar!

Si aún no te sumaste al uso de HTTPS, ahora es el momento. Para ver una lista más estructurada de razones para migrar, consulta mi publicación del blog del verano pasado.

Más allá de HTTPS, deberíamos aplicar estas mismas técnicas en otros ámbitos. ¿Cómo podemos reducir los costos y simplificar la implementación de otros objetivos de seguridad? ¿Qué incentivos podemos ofrecer para complementar las sanciones? Y, una vez que cobremos impulso, ¿cómo podemos acelerarlo mediante el efecto de red?

En Snyk intentamos aplicar estas lecciones para ayudar a que el código abierto sea más seguro, y nos encantaría que se extendieran por todo el mundo de la seguridad.