Instalar el certificado de WebProtección

Opción A · Perfil de configuración (recomendada)

Descargar perfil (.mobileconfig)

1. Haz doble clic en el archivo descargado. Aparece el aviso «Perfil descargado».
2. Abre Ajustes del Sistema → Privacidad y seguridad → Perfiles (en macOS anteriores a 13: Preferencias del Sistema → Perfiles), elige el perfil y pulsa Instalar… con tu contraseña de administrador.
3. Si después Safari o Chrome siguen avisando, abre Acceso a Llaveros, busca WebControl Root CA, doble clic → Confiar → Confiar siempre.

El perfil aparece como «No firmado»: es normal, lo genera WebProtección sin un servidor de gestión (MDM). Si tu empresa usa un MDM, distribuye el certificado desde ahí.

Opción B · Acceso a Llaveros (manual)

1. Descarga el certificado y haz doble clic en WebProteccion-root-ca.crt; elige el llavero Sistema y confirma con tu contraseña.
2. Busca WebControl Root CA, doble clic, despliega Confiar y elige Confiar siempre.

Opción C · Terminal

sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain ~/Downloads/WebProteccion-root-ca.crt

Safari y Chrome usan el llavero del sistema. Firefox tiene el suyo: mira la pestaña «Firefox».

Descargar perfil (.mobileconfig)

1. Abre esta página en Safari (otros navegadores no instalan perfiles) y pulsa Descargar perfil. Acepta Permitir cuando pregunte si quieres descargarlo.
2. Abre Ajustes: arriba aparece Perfil descargado (o ve a General → VPN y gestión de dispositivos). Pulsa Instalar, escribe tu código y confirma. El aviso «No firmado» es normal.
3. Paso que casi todos olvidan: Ajustes → General → Información → Ajustes de confianza de certificados → activa el interruptor de WebControl Root CA bajo «Activar confianza total para certificados raíz». Sin esto, Safari sigue mostrando el aviso.

¿Y el filtrado de DNS en el celular? Es otro perfil, independiente de este certificado: tu administrador de TI crea tu dispositivo en Despliegue → Dispositivos móviles y te envía un enlace o un QR para instalar un perfil de DNS cifrado, sin ninguna app.

En iPad con iPadOS reciente, Safari a veces se presenta como Mac; los pasos son los mismos. Si tu empresa usa un MDM, el certificado se distribuye desde ahí y el paso 3 no es necesario.

1. Descarga el certificado en el teléfono.
2. Abre Ajustes → Seguridad y privacidad → Más seguridad y privacidad → Cifrado y credenciales → Instalar un certificado → Certificado de CA. (La ruta cambia un poco según la marca: busca «certificado» en Ajustes.)
3. Android advierte que alguien podría monitorear tu tráfico: elige Instalar de todos modos y selecciona WebProteccion-root-ca.crt.

¿Y el filtrado de DNS en el celular? En Android se activa con «DNS privado» (Ajustes → Red e Internet → DNS privado → nombre de host del proveedor): tu administrador de TI te da el nombre exacto, único para tu equipo, en un enlace o QR.

Si el teléfono no tiene bloqueo de pantalla, Android te pedirá crear uno antes. Chrome y la mayoría de los navegadores confían en este certificado; algunas aplicaciones (bancos, redes sociales) ignoran los certificados instalados por el usuario y mostrarán errores en sitios bloqueados.

Debian, Ubuntu y derivados

sudo cp WebProteccion-root-ca.crt /usr/local/share/ca-certificates/WebProteccion-root-ca.crt
sudo update-ca-certificates

Fedora, RHEL, CentOS, Rocky

sudo cp WebProteccion-root-ca.crt /etc/pki/ca-trust/source/anchors/
sudo update-ca-trust

Arch y derivados

sudo trust anchor --store WebProteccion-root-ca.crt

Chrome / Chromium (usan su propia base NSS)

sudo apt install libnss3-tools   # o el equivalente de tu distribución
certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n "WebControl Root CA" -i WebProteccion-root-ca.crt

Reinicia el navegador. Para Firefox, mira la pestaña «Firefox».

Firefox no usa el almacén del sistema operativo: tiene el suyo. Hay dos formas de que confíe en el certificado.

Opción A · Que Firefox use el almacén del sistema (recomendada en empresas)

Windows con el agente: el agente (1.3 o superior) lo configura solo. Windows sin agente, en el Registro o por GPO (como administrador):

reg add "HKLM\SOFTWARE\Policies\Mozilla\Firefox\Certificates" /v ImportEnterpriseRoots /t REG_DWORD /d 1 /f

macOS / Linux: crea el archivo policies.json en la carpeta distribution de Firefox (macOS: /Applications/Firefox.app/Contents/Resources/distribution/ · Linux: /etc/firefox/policies/):

{
  "policies": { "Certificates": { "ImportEnterpriseRoots": true } }
}

Esto requiere haber instalado antes el certificado en el sistema (pestañas anteriores). Reinicia Firefox y comprueba en about:policies que la política está activa.

Opción B · Importarlo a mano en Firefox (un perfil de usuario)

1. Descarga el certificado. En Firefox abre about:preferences#privacy.
2. Baja hasta Certificados → Ver certificados… → pestaña Autoridades → Importar… y elige WebProteccion-root-ca.crt.
3. Marca Confiar en esta CA para identificar sitios web y acepta.