Última actualización: 11 de septiembre

Subidas de archivos seguras con cURL y certificados de cliente

Tim Koschützki

Cofundador · Berlín, Alemania ·

Las subidas de archivos seguras son esenciales para proteger los datos durante su transferencia por internet. En este DevTip exploraremos cómo subir archivos de forma segura con cURL sobre HTTPS. Te guiaremos en la configuración de tu entorno, la creación de conexiones seguras y la aplicación de buenas prácticas para las subidas de archivos con cURL.

Introducción a cURL y las subidas de archivos

cURL es una potente herramienta de línea de comandos que se usa para transferir datos con URL. Los desarrolladores la usan ampliamente para probar API, transferir archivos y depurar conexiones de red. Entender cómo subir archivos de forma segura con cURL es fundamental para mantener la integridad y la seguridad de los datos en tus aplicaciones.

Qué es HTTPS y por qué es esencial para transferencias de archivos seguras

HTTPS (HyperText Transfer Protocol Secure) es una extensión de HTTP que proporciona comunicación segura a través de una red de computadoras. Cifra los datos transmitidos entre el cliente y el servidor, lo que impide la interceptación y la manipulación. Al subir archivos, el uso de HTTPS garantiza que tus datos permanezcan cifrados en tránsito, protegiendo la información sensible frente a interceptaciones.

Configurar el entorno: instalar cURL en tu sistema

Antes de empezar, asegúrate de que cURL esté instalado en tu sistema. La mayoría de los sistemas operativos modernos vienen con cURL preinstalado. Para verificar la instalación, ejecuta:

curl --version

Si cURL no está instalado, usa los siguientes comandos:

En macOS:
- Con Homebrew: brew install curl
- Nota: macOS normalmente viene con cURL preinstalado.

En Linux (Debian/Ubuntu):

sudo apt update && sudo apt install curl

En Windows:
- Windows 10 (1803) y posteriores: cURL viene preinstalado.
- Para versiones anteriores: descárgalo desde https://curl.se/windows/

Crear conexiones seguras con HTTPS

Para subir archivos de forma segura, establece una conexión mediante HTTPS. Esto no solo cifra tus datos en tránsito, sino que también los protege frente a posibles interceptaciones. Para mayor seguridad, también puedes usar certificados de cliente, que autentican al cliente ante el servidor durante el handshake SSL/TLS.

Guía paso a paso para subir un archivo con cURL usando HTTPS

Requisitos previos

cURL instalado en tu sistema
Acceso a un servidor que acepte subidas de archivos por HTTPS
Opcional: certificado de cliente y clave privada si el servidor requiere autenticación de cliente

Subir un archivo por HTTPS

Sube un archivo de forma segura con el siguiente comando:

curl --upload-file /path/to/local/file.txt https://example.com/upload

Este comando sube de forma segura file.txt a https://example.com/upload por HTTPS.

Usar certificados de cliente para mayor seguridad

En los casos que requieren autenticación de cliente, incluye tu certificado de cliente y tu clave privada en el comando de cURL:

# Basic client certificate usage
curl --cert client.crt --key client.key https://example.com/

# Specify certificate type explicitly
curl --cert-type PEM --cert client.crt --key client.key https://example.com/

# Using a combined cert+key file
curl --cert combined.pem https://example.com/

Importante

Protege siempre tu clave privada con los permisos adecuados. Por ejemplo:

chmod 600 client.key  # Only the owner can read/write the key
chmod 644 client.crt  # The certificate can be world-readable

Manejo de frases de contraseña de certificados

Si tu clave privada está protegida con una frase de contraseña, cURL te la pedirá al ejecutar el comando. En scripts automatizados, evita incluir la frase de contraseña en línea por motivos de seguridad. En su lugar, carga las credenciales mediante un gestor de secretos y un archivo restringido que solo pueda leer la cuenta de servicio. Protege los archivos PEM combinados como claves privadas, no como certificados públicos. Nunca coloques una frase de contraseña en los argumentos de la línea de comandos ni en el historial del shell.

Verificar los certificados del servidor

De forma predeterminada, cURL comprueba el certificado SSL del servidor contra las autoridades de certificación (CA) de confianza del sistema. Si el servidor usa un certificado autofirmado o uno emitido por una CA privada, proporciona el certificado de la CA con la opción --cacert:

curl --cacert /path/to/ca.crt \
     --upload-file /path/to/local/file.txt \
     https://example.com/upload

Resolución de problemas comunes

Falló la verificación del certificado

curl: (60) SSL certificate problem: unable to get local issuer certificate

Solución: asegúrate de que los certificados de CA de tu sistema estén actualizados o especifica el certificado de CA adecuado:

curl --cacert /path/to/ca.crt https://example.com

Errores del certificado de cliente

curl: (58) could not load PEM client certificate

Solución: valida el formato del certificado y ajusta los permisos del archivo:

openssl x509 -in client.crt -text -noout  # Verify the certificate
chmod 600 client.key                       # Correct the permissions

Buenas prácticas de seguridad

Validación de certificados: verifica siempre el certificado del servidor. Desactiva la verificación de certificados únicamente en entornos de prueba controlados:
```
# Validate certificates (recommended)
curl https://example.com/

# Disable certificate validation (only for testing purposes)
curl -k https://example.com/
```
Protección de la clave privada:
- Almacena las claves privadas con permisos de archivo estrictos (por ejemplo, chmod 600 client.key).
- Nunca subas claves privadas al control de versiones.
- Considera usar bóvedas seguras o variables de entorno para las credenciales sensibles.
Manejo de certificados:
- Mantén actualizados tus certificados de CA.
- Usa el almacén de CA del sistema siempre que sea posible, o especifica certificados de CA personalizados con la opción --cacert.
Seguridad del protocolo:
- Asegúrate de usar TLS 1.2 o posterior (especifícalo con --tlsv1.2 cuando sea posible).
- Evita incluir datos sensibles en las URL.
- Actualiza periódicamente tus bibliotecas de cURL y OpenSSL.

Compatibilidad de versiones

Los ejemplos de esta publicación se probaron con:

curl 8.5.0
OpenSSL 3.0.13
Ubuntu 22.04 LTS y posteriores
macOS 13 y posteriores
Windows 10 (1803) y posteriores

Conclusión

Asegurar las subidas de archivos es fundamental para proteger los datos sensibles de tus aplicaciones. Al usar cURL sobre HTTPS e implementar certificados de cliente, puedes garantizar que tus transferencias de archivos sean seguras y autenticadas. Seguir estas buenas prácticas te ayudará a mantener un sistema de subida de archivos robusto.

Si buscas una forma más sencilla de gestionar subidas y procesamiento de archivos seguros en tus aplicaciones, considera usar Transloadit, que ofrece soluciones robustas para subir y procesar archivos con funciones de seguridad integradas.