Tens el teu domini (Route 53) i el teu contingut ràpid (CloudFront). Falta una cosa imprescindible avui dia: que el teu lloc sigui segur, que faci servir HTTPS. Per això necessites un certificat SSL/TLS, i AWS te’ls dona gratuïts amb ACM (AWS Certificate Manager). En aquest subcapítol entendràs què són i com simplifiquen la seguretat.

Hauràs notat que les webs comencen per http:// o https://, i que el navegador mostra un cadenat a les segures. La diferència:

• HTTP: la comunicació entre l’usuari i el servidor viatja sense xifrar. Qualsevol que «escolti» la xarxa (en un wifi públic, per exemple) podria llegir el que s’envia: contrasenyes, dades de targetes, missatges...
• HTTPS: la comunicació va xifrada. Encara que algú la intercepti, només veu dades il·legibles. És HTTP + xifrat.

Avui HTTPS no és opcional. Els navegadors marquen les webs HTTP com a «no segures», Google penalitza el seu posicionament, i els usuaris desconfien d’un lloc sense cadenat. Tota web ha de fer servir HTTPS.

Perquè HTTPS funcioni, el servidor necessita un certificat SSL/TLS. Aquest certificat compleix dues funcions:

1. Habilita el xifrat: permet establir la connexió xifrada entre usuari i servidor.
2. Verifica la identitat: demostra que el lloc és qui diu ser (que mibanco.com és realment el banc, no un impostor). L’emet una autoritat de confiança.

Analogia: un certificat SSL és com el carnet d’identitat oficial del teu web, emès per una autoritat reconeguda. Quan el navegador el veu, confia que estàs parlant amb el lloc real, i obre un «canal privat» (xifrat) per a la conversa. Sense certificat, no hi ha cadenat ni canal segur.

Abans, aconseguir i mantenir certificats era un embolic:

• Calia comprar-los (costaven diners).
• Instal·lar-los manualment al servidor (procés tècnic i propens a errors).
• Renovar-los periòdicament (caduquen), i si t’oblidaves, la teva web deixava de funcionar amb un avís de seguretat! Això ha fet caure webs de grans empreses per un simple oblit.

ACM elimina tots aquests problemes. És el servei d’AWS que emetrà i gestiona certificats SSL/TLS, amb tres grans avantatges:

Els certificats d’ACM per fer servir amb serveis d’AWS són completament gratuïts. No pagues res pel certificat.

ACM renova els certificats automàticament abans que caduquin. Mai t’hauràs de preocupar que la teva web es quedi sense cadenat per un oblit. Aquest és, potser, el major alleujament: adéu als ensurts per certificats caducats.

ACM s’integra directament amb els serveis que donen la cara a internet:

• CloudFront (subcapítol 16.2).
• Application Load Balancer (Capítol 13).
• API Gateway (Capítol 14).

Associes el certificat a aquests serveis amb un parell de clics (o unes línies de Terraform), i ells s’encarreguen del xifrat. No toques servidors ni instal·les res a mà.

El flux típic és molt senzill:

1. Sol·licites un certificat a ACM per al teu domini (ex. miweb.com).
2. Valides que el domini és teu (normalment afegint un registre DNS a Route 53; ACM i Route 53 s’integren per fer-ho gairebé automàtic).
3. Associes el certificat al teu CloudFront, balancejador o API Gateway.
4. Ja està: el teu lloc serveix HTTPS, i ACM renova el certificat sol per sempre.

Detall a recordar: els certificats per a CloudFront s’han de crear a la regió Nord de Virgínia (us-east-1), per una particularitat tècnica de com funciona CloudFront. És un descuit habitual: si el teu certificat no apareix en configurar CloudFront, comprova que l’has creat en aquesta regió.

• HTTPS és HTTP xifrat: protegeix les dades (contrasenyes, pagaments) de mirades alienes i mostra el cadenat. Avui és obligatori per a qualsevol web seriosa.
• HTTPS necessita un certificat SSL/TLS, que xifra la connexió i verifica la identitat del lloc.
• ACM (AWS Certificate Manager) emet i gestiona certificats amb tres avantatges: gratuïts, renovació automàtica (mai més ensurts per caducitat) i integració automàtica amb CloudFront, balancejadors i API Gateway.
• Flux: sol·licites → valides el domini (via DNS/Route 53) → associes el certificat al servei → ACM el renova sol.
• Per a CloudFront, crea el certificat a la regió us-east-1 (Nord de Virgínia).

A l’últim subcapítol del capítol afegirem una capa de protecció al teu lloc: el tallafoc d’aplicacions WAF, integrat amb CloudFront.