Tutorial: Configuración de HTTPS en un dominio personalizado de Azure CDN

Importante

Azure CDN Estándar de Microsoft (clásico) se retirará el 30 de septiembre de 2027. Para evitar interrupciones del servicio, es importante que migre los perfiles de Azure CDN Estándar de Microsoft (clásico) a los nivel Estándar o Prémium de Azure Front Door antes del 30 de septiembre de 2027. Para más información, consulte Retirada de Azure CDN Estándar de Microsoft (clásico).

Azure CDN de Edgio se retirará el 15 de enero de 2025. Debe migrar la carga de trabajo a Azure Front Door antes de esta fecha para evitar interrupciones del servicio. Para más información, consulte Preguntas más frecuentes sobre la retirada de Azure CDN de Edgio..

En este tutorial se muestra cómo habilitar el protocolo HTTPS en un dominio personalizado asociado con un punto de conexión a Azure CDN.

El protocolo HTTPS en el dominio personalizado (por ejemplo, https://www.contoso.com), garantiza que los datos confidenciales se entreguen de manera segura mediante TLS/SSL. Cuando el explorador web se conecta a través de HTTPS, el explorador valida el certificado del sitio web. El explorador comprueba que está emitido por una entidad de certificación legítima. Este proceso aporta seguridad y protege las aplicaciones web de posibles ataques.

Azure CDN admite HTTPS en un punto de conexión de CDN de manera predeterminada. Por ejemplo, si crea un punto de conexión a la red CDN (como https://contoso.azureedge.net), HTTPS se habilita de manera predeterminada.

Algunos de los atributos clave de la característica de HTTPS personalizado son:

• Sin costo adicional: la adquisición o renovación de certificados no tiene costos y el tráfico HTTPS no supone un costo adicional. Solo es preciso pagar por los GB de salida de la red CDN.

• Habilitación simple: el aprovisionamiento en un solo clic está disponible desde Azure Portal. También puede utilizar la API de REST u otras herramientas de desarrollo para habilitar la característica.

• La administración completa de certificados está disponible:

  • toda la adquisición y administración de certificados se controla de manera automática.
  • Los certificados se aprovisionan y renuevan automáticamente antes de su expiración.

En este tutorial, aprenderá a:

• Habilitar el protocolo HTTPS en su dominio personalizado
• Usar un certificado administrado por CDN
• Usar su propio certificado
• Validar el dominio
• Deshabilitar el protocolo HTTPS en su dominio personalizado

Prerrequisitos

Nota:

Se recomienda usar el módulo Azure Az de PowerShell para interactuar con Azure. Para comenzar, consulte Instalación de Azure PowerShell. Para más información sobre cómo migrar al módulo Az de PowerShell, consulte Migración de Azure PowerShell de AzureRM a Az.

Para poder completar los pasos de este tutorial, cree un perfil de CDN y al menos un punto de conexión de CDN. Para más información, consulte Inicio rápido: Creación de un perfil y un punto de conexión de Azure CDN.

Asocie un dominio personalizado de Azure CDN en el punto de conexión de CDN. Para más información, consulte el Tutorial: Incorporación de un dominio personalizado a un punto de conexión de Azure CDN.

Importante

Los certificados administrados por CDN no están disponibles para dominios raíz o de Apex. Si el dominio personalizado de Azure CDN es un dominio raíz o de Apex, debe usar la característica Traiga su propio certificado.

---

Certificados TLS/SSL

Para habilitar HTTPS en un dominio personalizado de Azure CDN, use un certificado TLS/SSL. Puede usar un certificado que Azure CDN administre o usar su propio certificado.

Opción 1 (valor predeterminado): habilitación de HTTPS con un certificado administrado por CDN

Azure CDN controla las tareas de administración de certificados, como la adquisición y renovación. Después de habilitar la característica, el proceso se inicia inmediatamente.

Si el dominio personalizado ya está asignado al punto de conexión de CDN, no es necesario realizar ninguna otra acción. Azure CDN procesa los pasos y completa la solicitud automáticamente.

Si su dominio personalizado se asigna en otra parte, use el correo electrónico para validar la propiedad del dominio.

Para habilitar HTTPS en un dominio personalizado, siga estos pasos:

1. Vaya a Azure Portal para buscar un certificado administrado por Azure CDN. Busque y seleccione Perfiles de CDN.

2. Elija el perfil:

   • Azure CDN Estándar de Microsoft
   • Azure CDN Estándar de Edgio
   • Azure CDN Premium de Edgio

3. En la lista de puntos de conexión de CDN, haga clic en el que contiene el dominio personalizado.

   aparece la página Punto de conexión.

4. En la lista de dominios personalizados, seleccione el dominio personalizado para el que desea habilitar HTTPS.

   

   Aparece la página Dominio personalizado.

5. En el tipo de administración de certificados, seleccione Certificate management type (Administrado por CDN).

6. Seleccione On (Activado) para habilitar HTTPS.

   

7. Continúe y valide el dominio.

Opción 2: habilitación de HTTPS con su propio certificado

Importante

• Esta opción solo está disponible con Azure CDN de Microsoft.
• La opción de usar su propio certificado con Azure CDN de Edgio inició un proceso de mantenimiento el 20 de junio de 2024. Esta característica no estará disponible mientras dure el mantenimiento. Volverá a estará disponible de nuevo a principios de 2025.

Puede usar su propio certificado para habilitar la característica HTTPS. Este proceso se realiza a través de una integración con Azure Key Vault, lo cual permite almacenar de forma segura los certificados. Azure CDN usa este mecanismo de seguridad para obtener el certificado y requiere algunos pasos adicionales. Al crear el certificado TLS/SSL, tiene que crear una cadena de certificados completa con una entidad de certificación (CA) permitida que forme parte de la lista de CA de confianza de Microsoft. Si usa una CA no permitida, la solicitud se rechaza. Si se presenta un certificado sin una cadena completa, no se garantiza que las solicitudes que involucran ese certificado funcionen según lo previsto.

Preparación de la cuenta y el certificado de Azure Key Vault

1. Azure Key Vault: tiene que tener una cuenta de Azure Key Vault ejecutándose en la misma suscripción que el perfil de Azure CDN y los puntos de conexión de CDN para los que quiera habilitar HTTPS personalizado. Cree una cuenta de Azure Key Vault si no tiene una.

2. Certificados de Azure Key Vault: Si tiene un certificado, cárguelo directamente en su cuenta de Azure Key Vault. Si no tiene un certificado, cree uno nuevo directamente mediante Azure Key Vault.

Nota:

• Azure Content Delivery Network solo admite certificados PFX.
• El certificado debe tener una cadena de certificados completa con certificados de hoja e intermedios, y la CA raíz debe formar parte de la lista de CA de confianza de Microsoft.

Configuración de la identidad administrada para Azure CDN

Siga los pasos descritos en Configuración de la identidad administrada para Azure CDN para permitir que Azure CDN acceda a la cuenta de Azure Key Vault.

Selección del certificado de Azure CDN que se va a implementar

1. Vuelva al portal de Azure CDN y seleccione el perfil y el punto de conexión de CDN para los que quiere habilitar HTTPS personalizado.

2. En la lista de dominios personalizados, seleccione el dominio personalizado para el que desea habilitar HTTPS.

   Aparece la página Dominio personalizado.

3. En el tipo de administración de certificados, seleccione Use my own certificate (Usar mi propio certificado).

   

4. Seleccione un almacén de claves, un certificado o secreto y la versión del certificado o secreto.

   Azure CDN muestra la siguiente información:

   • Key Vault tiene en cuenta el identificador de suscripción.
   • Los certificados o secretos en el almacén de claves seleccionado.
   • Las versiones del certificado o secreto disponibles.

   Nota:

   • Azure Content Delivery Network solo admite certificados PFX.
   • Para que el certificado se rote automáticamente a la versión más reciente cuando haya disponible una última versión del certificado en la instancia de Key Vault, establezca la versión del certificado o del secreto en "latest". Si se selecciona una versión específica, tendrá que volver a seleccionar la nueva versión manualmente para la rotación de certificados. La nueva versión del certificado o el secreto tarda hasta 72 horas en implementarse. Solo el SKU estándar de Microsoft admite la rotación automática de certificados.

5. Seleccione On (Activado) para habilitar HTTPS.

6. Si usa su certificado, no se requiere la validación del dominio. Continúe con Esperar a la propagación.

Validar el dominio

Si ya tiene un dominio personalizado en uso asignado a su punto de conexión personalizado con un registro CNAME o usa su propio certificado, continúe con El dominio personalizado está asignado al punto de conexión de Content Delivery Network.

En caso contrario, si la entrada del registro CNAME del punto de conexión ya no existe o no contiene el subdominio cdnverify, continúe con El dominio personalizado no está asignado al punto de conexión de CDN.

El dominio personalizado está asignado al punto de conexión de CDN mediante un registro CNAME

Cuando agrega un dominio personalizado a su punto de conexión, crea un registro CNAME en el registrador de dominios de DNS asignado a su nombre de host del punto de conexión de CDN.

Si el registro CNAME aún existe, pero no contiene el subdominio cdnverify, la CA DigiCert lo usa para validar automáticamente la titularidad de su dominio personalizado.

Si usa su propio certificado, no se requiere la validación del dominio.

El registro CNAME debería tener el siguiente formato:

• Nombre es el nombre del dominio personalizado.
• value es el nombre de host del punto de conexión de red de entrega de contenido.

Nombre	Tipo	Value
<www.contoso.com>	CNAME	contoso.azureedge.net

Para obtener más información sobre los registros CNAME, consulte Creación de los registros DNS de CNAME.

Si el registro CNAME tiene el formato correcto, DigiCert automáticamente comprueba su nombre de dominio personalizado y crea un certificado para el dominio. DigitCert no envía un correo electrónico de comprobación, y usted no tiene que aprobar la solicitud. El certificado tiene una validez de un año y se renovará automáticamente antes de expirar. Continúe con Esperar a la propagación.

La validación automática suele tardar unas horas. Si no ve su dominio validado en 24 horas, abra una incidencia de soporte técnico.

Nota:

Si tiene un registro de autorización de entidad de certificación (CAA) con el proveedor de DNS, debe incluir las CA apropiadas para la autorización. DigiCert es la CA para los perfiles de Microsoft y Verizon. Para obtener información acerca de cómo administrar registros de CAA, consulte Manage CAA records (Administrar registros de CAA). Para obtener una herramienta de registros de CAA, consulte CAA Record Helper (Asistente de registros de CAA).

El dominio personalizado no está asignado al punto de conexión de CDN

Si la entrada del registro CNAME contiene el subdominio cdnverify, siga el resto de las instrucciones que aparecen en este paso.

DigiCert envía un correo electrónico de comprobación a las siguientes direcciones de correo electrónico. Compruebe que puede realizar las aprobaciones directamente desde una de las siguientes direcciones:

• admin@your-domain-name.com
• administrator@your-domain-name.com
• webmaster@your-domain-name.com
• hostmaster@your-domain-name.com
• postmaster@your-domain-name.com

Debería recibir un correo electrónico en unos minutos para aprobar la solicitud. Si utiliza un filtro de correo no deseado, agregue verification@digicert.com a la lista de permitidos. Si no recibe un correo electrónico en 24 horas, póngase en contacto con el equipo de soporte técnico de Microsoft.

Al seleccionar el vínculo de aprobación, se le conducirá al siguiente formulario de aprobación en línea:

Siga las instrucciones que aparecen en el formulario; tiene dos opciones de comprobación:

• Puede aprobar todos los pedidos futuros realizados a través de la misma cuenta del mismo dominio raíz, por ejemplo, contoso.com. Se recomienda este método si piensa agregar más dominios personalizados al mismo dominio raíz.

• Puede aprobar solo el nombre de host específico usado en esta solicitud. Se requiere otra aprobación para las solicitudes posteriores.

Tras la aprobación, DigiCert completa la creación del certificados para el nombre de dominio personalizado. El certificado es válido durante un año. Si el registro CNAME del dominio personalizado se agrega o actualiza para asignarlo al nombre de host del punto de conexión después de la comprobación, se volverá a asignar automáticamente antes de que expire.

Nota:

La renovación automática de certificados administrados requiere que su dominio personalizado se asigne directamente a su punto final CDN mediante un registro CNAME.

Esperar a la propagación

Una vez que el nombre de dominio se valide, la característica HTTPS del dominio personalizado tarda entre 6 y 8 horas en estar activa. Una vez completado el proceso, el estado en el cuadro de diálogo "Personalizar HTTPS" de Azure Portal cambia a Habilitado. Los cuatro pasos de la operación del cuadro de diálogo Dominio personalizado se marcan como completados. El dominio personalizado ahora está listo para usar HTTPS.

Progreso de la operación

En la tabla siguiente se muestra el progreso de la operación que se produce cuando se habilita HTTPS. Después de habilitar HTTPS, los cuatro pasos de la operación aparecen en el cuadro de diálogo del dominio personalizado. A medida que se activa cada paso, aparecen detalles de subpasos adicionales bajo el paso. No se producen todos estos subpasos. Después de que un paso se completa correctamente, aparece una marca de verificación verde junto a él.

Paso de la operación	Detalles del subpaso de la operación
1 Envío de la solicitud	Envío de la solicitud
	Se está enviando la solicitud HTTPS.
	Se ha enviado correctamente la solicitud HTTPS.
2 Validación del dominio	El dominio se valida automáticamente si está asignado por CNAME al punto de conexión de CDN. En caso contrario, se envía una solicitud de verificación al correo electrónico que aparece en el registro de su dominio (registrante WHOIS).
	La propiedad del dominio se ha validado correctamente.
	La solicitud de validación de la propiedad del dominio ha expirado (el cliente probablemente no respondió dentro del plazo de 6 días). HTTPS no se habilitará en el dominio. *
	El cliente rechazó la solicitud de validación de la propiedad del dominio. HTTPS no se habilitará en el dominio. *
3 Aprovisionamiento del certificado	La entidad de certificación está emitiendo actualmente el certificado necesario para habilitar HTTPS en el dominio.
	El certificado se ha emitido y actualmente se está implementando en la red CDN. Esto puede tardar hasta 6 horas.
	El certificado se ha implementado correctamente en la red CDN.
4 Finalizado	Se habilitó correctamente HTTPS en el dominio.

* Este mensaje no aparecerá a menos que se haya producido un error.

Si se produce un error antes de que se envíe la solicitud, verá el mensaje de error siguiente:

We encountered an unexpected error while processing your HTTPS request. Please try again and contact support if the issue persists.

Clean up resources - disable HTTPS (Limpiar recursos: deshabilitar HTTPS)

En esta sección, aprenderá a deshabilitar HTTPS para el dominio personalizado.

Deshabilitación de la característica HTTPS

1. En Azure Portal, busque y seleccione Perfiles de CDN.

2. Elija el perfil Azure CDN Estándar de Microsoft, Azure CDN Estándar de Edgio o Azure CDN Premium de Edgio.

3. En la lista de puntos de conexión, escoja el que contenga el dominio personalizado.

4. Elija el dominio personalizado en el que desea deshabilitar HTTPS.

   

5. Elija Desactivar para deshabilitar HTTPS y haga clic en Aplicar.

   

Esperar a la propagación

Cuando se deshabilita la característica HTTPS del dominio personalizado, puede tardar hasta 6 a 8 horas para que surta efecto. Una vez completado el proceso, el estado en el cuadro de diálogo "Personalizar HTTPS" de Azure Portal cambia a Deshabilitado. El dominio personalizado ya no usa HTTPS.

Preguntas más frecuentes

1. ¿Quién es el proveedor de certificados y qué tipo de certificado se utiliza?

   Se usa un certificado dedicado, que proporciona Digicert, para el dominio personalizado de:

   • Azure Content Delivery Network desde Edgio
   • Azure Content Delivery Network de Microsoft

2. ¿Usa TLS/SSL basado en IP o indicación de nombre de servidor (SNI)?

   Tanto Azure CDN de Edgio como Azure CDN Estándar de Microsoft usan TLS/SSL de SNI.

3. ¿Qué debo hacer si no recibo el correo electrónico de comprobación de dominio de DigiCert?

   Si no usa el subdominio cdnverify y la entrada CNAME es para el nombre de host del punto de conexión, no recibirá un correo electrónico de comprobación de dominio.

   La validación se produce automáticamente. En caso contrario, si no tiene una entrada CNAME y no ha recibido un correo electrónico en 24 horas, póngase en contacto con el servicio de soporte técnico de Microsoft.

4. ¿Son menos seguros los certificados SAN que los certificados dedicados?

   Los certificados SAN siguen los mismos estándares de cifrado y seguridad que los certificados dedicados. Todos los certificados TLS/SSL emitidos usan SHA-256 para mejorar la seguridad del servidor.

5. ¿Necesito un registro de autorización de entidad de certificación con mi proveedor de DNS?

   Actualmente no se requiere un registro de autorización de entidad de certificación. Pero si tiene uno, debe incluir DigiCert como entidad de certificación válida.

6. El 20 de junio de 2018, Azure CDN de Edgio comenzó a usar un certificado dedicado con TLS/SSL de SNI de forma predeterminada. ¿Qué sucede con los dominios personalizados existentes que usan certificados de nombre alternativo del firmante (SAN) TLS/SSL basado en IP?

   En los próximos meses, los dominios existentes se migrarán gradualmente a un único certificado si Microsoft analiza que solo se realizan solicitudes de cliente SNI a la aplicación.

   Si se detectan clientes que no son SNI, los dominios permanecen en el certificado SAN con TLS/SSL basado en IP. Las solicitudes al servicio o a los clientes que no sean SNI no se verán afectadas.

7. Funcionamiento de la renovación de certificados con Bring Your Own Certificate

   Para asegurarse de que se implementa un certificado más reciente en la infraestructura de POP, cargue el nuevo certificado en Azure Key Vault. En la configuración de TLS en Azure Content Delivery Network, elija la versión más reciente del certificado y seleccione Guardar. Azure Content Delivery Network propagará el nuevo certificado actualizado.

   Importante

   • A partir del 20 de junio de 2024, Azure CDN Estándar y Premium de Edgio no admitirán la característica Usar mis propios certificados. Esta característica se volverá a introducir a principios de 2025.
   • ¿Cuáles son las acciones necesarias para los dominios personalizados que usan esta característica? Los certificados BYOC ya implementados en la plataforma Edgio seguirán siendo válidos hasta su fecha de expiración. No se requiere ninguna acción para los certificados que expiran en 2025. Le recomendamos que cambie a CDN administrados para los certificados que requieren una actualización o expirarán este año. Si necesita ayuda adicional, envíe una solicitud de soporte técnico para trabajar con un ingeniero de soporte técnico.

Pasos siguientes

En este tutorial, ha aprendido a:

• Habilitar el protocolo HTTPS en su dominio personalizado
• Usar un certificado administrado por CDN
• Usar su propio certificado
• Validar el dominio
• Deshabilitar el protocolo HTTPS en su dominio personalizado

Avance al siguiente tutorial para aprender a configurar el almacenamiento en caché en el punto de conexión de CDN.

Tutorial: Establecimiento de las reglas de almacenamiento en caché de Azure CDN