Cada vez que Cloudflare abre una nueva conexión TLS 1.3 a un servidor de origen, tenemos que adivinar el algoritmo de acuerdo de claves. Si nos equivocamos, una Hello Retry Request cuesta un viaje de ida y vuelta adicional. Durante años, nuestra apuesta fue X25519, pero eso era subóptimo para aproximadamente el 30% de los orígenes.

Hoy anunciamos el Intercambio automático de claves, una extensión de SSL/TLS automático que sondea cada origen para conocer sus algoritmos preferidos y luego lidera con ese algoritmo en el primer intento, prefiriendo el híbrido post-cuántico X25519 MLKEM768. Las Hello Retry Requests cayeron de aproximadamente 52% a 3.7%, recortando más de 150 ms de latencia de handshake en p90. Cientos de miles de dominios ahora tienen conexiones de origen post-cuánticas sin configuración manual.

Esa segunda parte importa más. Los adversarios están grabando tráfico cifrado ahora para descifrarlo más tarde (harvest-now, decrypt-later). Cloudflare está corriendo para hacer que Internet sea cuánticamente seguro para 2029, el año en que los expertos estiman que el cifrado clásico podría ser vulnerado: Q-Day. Cumplir ese plazo no puede depender de que millones de operadores se conviertan en criptógrafos. Tiene que ser automático.

Hasta hoy, preferir conexiones post-cuánticas requería una configuración manual. ¡Pero hoy es simplemente... automático!

Entidades clave: Empresas: Cloudflare