El 20 de octubre, con el modelo 303 del trimestre por presentar, Firefox dejó de ofrecer el certificado digital en la Sede Electrónica de la Agencia Tributaria desde el portátil de la gestoría Bergua y Lacasa, en Zaragoza. El resto de páginas cargaba con normalidad y el mismo certificado seguía funcionando en el equipo Windows de al lado.
Nuria Beltrán Casaus, que administra esas cuatro máquinas, tardó una tarde en llegar a la frase que cerraba el caso: Firefox no usa el almacén de certificados del sistema, usa el suyo. El comando que lo enseña es certutil -L -d sql:$HOME/.mozilla/firefox/xxxx.default-release, y en ese perfil no había nada que presentar.
Hay siete temas en esta parte del atlas y no uno porque cada instrumento se queda en su capa. certutil lee lo que guarda un navegador y no sabe nada del cable; un polímetro mide ese cable y no sabe nada de un permiso mal puesto. Acertar con el instrumento es la mitad del trabajo, y no es la misma destreza que saber manejarlo.
El reparto: cinco capas, una pregunta repetida y una rama aparte
Cinco de los siete temas se apilan y cada uno descansa sobre el de abajo. Arriba está el cloud computing, que no es una máquina de otra clase sino las otras cuatro alquiladas por horas y con la contraseña de root en manos ajenas. Abajo del todo está el hardware, el único sitio donde una avería se ve a veces sin escribir nada.
Lo que cambia al bajar por la pila es el instrumento, y ese cambio es la razón de que los temas estén separados. Arriba se diagnostica leyendo una factura, porque casi toda avería de nube es algo que alguien dejó encendido. En el medio el diagnóstico sale en texto: ss -tlnp nombra el proceso que escucha y el usuario con el que corre. En el suelo no hay texto, y el método pasa a ser cambiar una pieza por otra que sabes buena.
La ciberseguridad no es una sexta capa. Es la misma pregunta repetida en las cinco y hecha con desconfianza: el cortafuegos que abre el 443 abre también todo lo que alguien haya colgado detrás del 443, y la lista de clientes de la gestoría está detrás del 443. Por eso una defensa se describe con dos columnas, lo que para y lo que se le cuela, y con una sola columna es un folleto comercial.
La electrónica es el séptimo tema y no se apoya en la pila, se sale de ella. Una placa con un microcontrolador y sin sistema operativo es otro objeto, con averías que se buscan con un polímetro y no con un registro.
El orden
Tres paradas fijas y una bifurcación que sí es una elección
Las tres primeras no se negocian. La cuarta es donde dos personas razonables eligen distinto.
- hardwareUna máquina tuya que puedas reinstalarLa única parada donde equivocarse no cuesta nada01
- 02sistemas operativosLa línea de comandosSin ella cada respuesta se lee entera, y una respuesta entera no se compara con la de ayer
- sistemas y redesUna avería real, comprobada por ordenUna definición aguanta hasta que hay tres sobre la mesa a la vez03
- 04La bifurcaciónServidores y nube, o electrónica, o seguridadUna elección y no un orden: las tres primeras paradas son las mismas vaya por donde vaya
En esta carretera no hay fechas, y es a propósito. Quien tiene una avería que arreglar cada semana pasa la tercera parada mucho antes que quien va aprobando módulos.
SMR y ASIR enseñan a nombrar, y la guardia enseña a ordenar
El punto donde se para un técnico en España tiene nombre, y son dos: SMR y ASIR, el grado medio y el grado superior de Informática y Comunicaciones. Los dos examinan bien lo que se deja examinar: nombrar las capas del modelo OSI, distinguir los niveles de RAID, decir qué hace un switch. Ninguno de los dos tiene una pregunta cuya respuesta sea el siguiente comando.
La consecuencia aparece la primera noche de guardia. Un módulo se aprueba y se cierra; una avería no llega dentro de un módulo. El titulado sabe nombrar las siete capas y no tiene con qué decidir a cuál preguntar primero, que es justo la parte que no era examinable. Con las certificaciones de seguridad pasa lo mismo: valen lo que valen en una oferta de empleo y no dan reflejos.
El orden que sale caro es empezar por arriba. Quien abre una cuenta de nube antes de saber leer ip route en una máquina propia no está aprendiendo nube, está aprendiendo una consola, y la consola es la parte que cambia cada año. Una tabla de rutas en una red virtual es una tabla de rutas. Un grupo de seguridad es una regla de cortafuegos con otro nombre en el botón.
El orden que sale barato tiene tres paradas fijas y una bifurcación al final. La segunda parada es la línea de comandos, y es la que casi todo el mundo aplaza con la idea de que se coge sobre la marcha. No se coge sobre la marcha: todos los temas de encima devuelven su respuesta en texto, y quien no sabe filtrar texto lee cada respuesta por una mirilla.
El primer comando es el que descarta más capas
De vuelta a Zaragoza. La regla que se enseña es comprobar de abajo arriba, y sirve mientras no haya nada mejor. Pero el primero no es el comando de abajo, es el que descarta más capas de una vez, y a veces ya se ha ejecutado sin darse cuenta: que el resto de páginas cargara descartó cuatro capas antes de que nadie escribiera nada. curl -I https://sede.agenciatributaria.gob.es/ lo confirma en un segundo, porque una línea de estado descarta las cuatro capas de debajo. Quedan el fichero y el navegador.
ls -l ~/certificados/nuria.p12 dice que el fichero existe y no pesa cero, que es media hora de diagnóstico que así no hace falta empezar. stat -c '%a %U' nuria.p12 dice quién puede leerlo, y 600 en la clave privada significa que la lee su dueño y nadie más. Con 644 el trámite sale igual de bien y el hallazgo aparece meses después, en una auditoría.
El contenido se mira sin tocar la clave. openssl pkcs12 -info -in nuria.p12 -nokeys pide la contraseña, imprime el titular y las fechas y no extrae nada más, que es la forma correcta de examinar el certificado de otra persona. Hasta ahí todo estaba bien, y ese es el resultado que cuenta: cinco respuestas limpias no son cinco comprobaciones perdidas, son cinco capas que ya no hay que volver a mirar.
La sexta cerró el caso. El listado del perfil estaba vacío, así que pk12util -i nuria.p12 -d sql:$HOME/.mozilla/firefox/xxxx.default-release mete el certificado en el almacén del navegador. Al repetir el listado aparece el titular con la marca u,u,u, que dice que la clave privada está ahí y sirve para identificarse. Los dos comandos vienen en nss-tools, y en Debian el paquete se llama libnss3-tools.
Lo que convierte esos seis comandos en un método y no en una lista es escribir, antes de pulsar intro, qué va a descartar cada una de las dos respuestas posibles. Eso es el diagnóstico de red hecho en serio, y es el mismo hábito en las siete capas.
El orden de comprobación
Seis comandos en la gestoría de Zaragoza, empezando por el que descarta más
Cada respuesta limpia retira capas de la lista y no dice nada de las que quedan por encima.
- sistemas y redescurl -I https://sede.agenciatributaria.gob.es/Retira cuatro capas de una vez. Es el primero por eso, no por estar arriba.
- hardwarels -l ~/certificados/nuria.p12Retira el fichero. La única de las seis que se contesta sin saber la contraseña.
- sistemas operativosstat -c '%a %U' nuria.p12No retira nada hoy. Retira la auditoría de dentro de un año, que es cuando se cobra.
- ciberseguridadopenssl pkcs12 -info -in nuria.p12 -nokeysRetira la caducidad y el titular. Si falla aquí, el navegador nunca fue el problema.
- sistemas operativoscertutil -L -d sql:$HOME/.mozilla/firefox/xxxx.default-releaseLa única de las seis que mira dentro del navegador, y la única que contestó distinto.
- sistemas operativospk12util -i nuria.p12 -d sql:$HOME/.mozilla/firefox/xxxx.default-releaseDeja de ser comprobación y pasa a ser arreglo. La prueba es que el listado anterior cambie.
El dibujo no dice cuánto tarda cada comando, y esa es la otra mitad de la decisión: uno que retira tres capas en diez segundos gana a uno que retira cuatro en media hora.
Qué abrir en 2026, y en qué región está la máquina
iproute2 trae ip y ss y sustituyó a net-tools, que traía ifconfig y netstat. Está en cualquier Linux actual y no hay nada que comprar. El error es teclear ifconfig por costumbre en un Debian recién instalado, recibir «command not found» y concluir que la máquina está rota cuando lo que ya no está es el comando.
journalctl lee el diario de systemd y sustituyó a mirar /var/log/messages con tail y grep. Gratis, y ya instalado. El error es lanzarlo pelado, recibir todo desde el arranque y rendirse: journalctl -u nginx lo reduce a un servicio y -b a este arranque. dig sustituyó a nslookup en todo consejo que merezca seguirse y viene en bind9-dnsutils en Debian y en bind-utils en Fedora, sin coste.
Docker sustituyó al reparto de imágenes de máquina con una página de instrucciones pegada detrás. El motor en Linux es gratis; Docker Desktop exige suscripción de pago para empresas grandes desde 2021. El error no es Docker sino lo que se coge después: Kubernetes resuelve el problema de muchas máquinas y muchos equipos, y quien tiene un servidor no tiene todavía ese problema.
De AWS, Azure y Google Cloud, lo que cambia en España no es el precio sino el sitio. Los tres tienen región dentro del país: AWS eu-south-2, Europa (España), en Aragón, abierta en noviembre de 2022 con tres zonas de disponibilidad, y Azure Spain Central y Google Cloud europe-southwest1, las dos en Madrid. Las tarjetas funcionan y las consolas abren, así que elegir región aquí es una decisión de protección de datos y no de latencia.
Eso invierte el consejo del material en inglés, que elige región por milisegundos. Y añade un marco que ninguna página estadounidense nombra: para cualquier trabajo que toque administración pública, la referencia en España es el ENS, el Esquema Nacional de Seguridad, y no SOC 2, y es una certificación que acredita el proveedor. Comparar a los proveedores solo por precio y por servicios se queda corto aquí.
La señal
Cuatro preguntas, y dos se contestaron meses antes de que alguien preguntara
Las columnas no son cuatro tareas. Son cuatro cosas que están o no están el día que hacen falta.
- Qué está escuchandoSe contesta en una línea, y la respuesta casi siempre incluye algo que nadie recuerda haber arrancado
- Cuánto disco quedaUna pantalla, y la fila que importa casi nunca es la esperada
- Si la copia se restauraNada en la máquina lo sabe. Alguien tiene que haberlo hecho, a propósito, hace poco.
- Quién entró anocheLa única de las cuatro que no se puede contestar hacia atrás
Quita una columna y la frase de arriba deja de ser cierta
No dice qué columnas están en pie en una máquina concreta, y esa es la pregunta que hay que llevarse de aquí. Lo habitual es que al menos una respuesta no sea ni sí ni no.
Cuatro preguntas, y por dónde entrar
La señal de que ya no estás adivinando no es una sensación. Al mes, una avería produce una lista de cosas que probar; a los tres meses produce un orden con predicciones pegadas. La comprobación cuesta diez minutos: coge una avería que no hayas visto, escribe los tres primeros comandos y, al lado de cada uno, las dos respuestas posibles y qué elimina cada una. Después ejecútalos.
La segunda señal no habla de ti sino de la máquina, y por eso es más difícil de falsear. De las cuatro preguntas que merece la pena hacerle a un servidor, dos se contestan con una línea: ss -tlnp para qué escucha y con qué usuario, df -h para cuánto disco queda. Las otras dos se decidieron meses antes, cuando alguien eligió guardar copias que se restauran y registros que se recogen antes de la noche en cuestión. Nadie lo miró es una respuesta distinta de no, y lleva otro trabajo detrás.
Por dónde entrar depende de lo que tengas delante. El hardware es la puerta más amable, porque es el único tema donde la avería se ve: un ventilador parado, un cable mal metido, un disco que hace clic. Los sistemas operativos son donde más rinde el tiempo, porque abaratan los otros seis en vez de venir después de ellos.
Sistemas y redes es el atasco, así que se lleva más tiempo y no menos. Los servidores y la nube son el mismo asunto con distinto dueño del fallo, y la diferencia que se nota en una semana de trabajo es a quién le llega la factura del error. La criptografía explica por qué el fichero de Zaragoza podía probar quién era su titular sin enseñar la clave.
Desde fuera de la informática, la puesta en producción es este mismo oficio en manos de quien escribe el software, el desarrollo web es la mitad lejana de cada página de red, y el trabajo autónomo conviene leerlo antes que cualquier certificación, porque en España buena parte de este trabajo se factura con una cuota mensual por delante.
Queda por decidir cuál es la máquina que puedes romper sin pedir permiso, y de eso depende lo que se puede practicar: un portátil viejo y un servidor alquilado enseñan mitades distintas de esta página, y solo el alquilado enseña qué pasa cuando la máquina está donde no puedes ir andando. Esa decisión se toma eligiendo familia en Linux, y es más pequeña de lo que parece.