Seguridad SSL / TLS

¿Cuándo caduca su certificado y qué nombres cubre exactamente?

Un certificado caducado bloquea el acceso a un sitio web tras una pantalla de advertencia roja en los navegadores. Esta herramienta establece una conexión TLS real e inspecciona el certificado devuelto por su servidor.

Establecemos una conexión TLS en el puerto 443 para leer el certificado activo.

Abrimos una conexión TLS real en el puerto 443 e inspeccionamos el certificado y su cadena intermedia. La validación estricta se relaja deliberadamente en la lectura para poder auditar certificados caducados o con discrepancia de nombre sin que se bloquee la conexión.

La guía detrás de esta herramienta Certificados SSL: caducidad, cadenas y errores que cuestan tráfico Por qué fallan los certificados SSL, por qué una web funciona en PC y falla en móviles y por qué pagar por un certificado suele ser innecesario. Leer la guía · 5 min de lectura →

Comprobaciones del analizador

Conexión TLS directa al puerto 443 para analizar el certificado que su servidor entrega en vivo.

  • Días restantes de validez

    Un certificado caducado bloquea el acceso con advertencia de seguridad para todos los usuarios.

  • Cobertura de nombres de host

    Comprobación de la lista de dominios y subdominios protegidos por el certificado.

  • Soporte para www y dominio raíz

    Verificación de cobertura tanto para el dominio con www como para la variante sin www.

  • Integridad de la cadena intermedia

    Comprueba si el servidor transmite los certificados intermedios para clientes móviles.

  • Versión del protocolo TLS

    TLS 1.3 es el estándar actual más veloz; versiones anteriores a 1.2 son inseguras.

  • Autoridad emisora y algoritmo

    Identificación de la entidad emisora y el algoritmo de firma criptográfica utilizado.

  • Periodo de validez máxima

    Los navegadores rechazan certificados emitidos por periodos superiores a 398 días.

Cómo interpretar los resultados

Menos de 21 días indica un fallo en la renovación automática. Los certificados Let's Encrypt se renuevan al día 60. Si restan menos de 21 días, la tarea automática se ha interrumpido por problemas de permisos o cambios de servidor. Revísela de inmediato.

Un nombre de host no cubierto provoca una advertencia de seguridad directa para los usuarios que accedan por esa variante.

Una cadena incompleta significa que falta el certificado intermedio en el servidor. Su ordenador puede solventarlo internamente, pero los dispositivos móviles rechazarán la conexión.

Certificados de pago vs gratuitos: el nivel de cifrado es idéntico y los navegadores no diferencian visualmente su tratamiento. Contrate un certificado de pago únicamente ante exigencias contractuales o de cumplimiento normativo específicas.

Configure alertas independientes sobre la fecha de expiración del certificado público en vez de supervisar solo los scripts internos.

Causas habituales de fallos en certificados SSL

Caducidad imprevista

El fallo más destructivo y frecuente. Los navegadores muestran una pantalla de bloqueo que la inmensa mayoría de usuarios no cruza, y los motores de búsqueda consideran el sitio fuera de servicio. Las ventas caen a cero de inmediato.

Los certificados Let's Encrypt tienen una validez de 90 días y se renuevan automáticamente a los 60. La automatización solventa el problema hasta que la tarea cron falla de forma silenciosa sin que nadie lo note durante semanas. Monitorice la fecha de caducidad de forma externa al proceso de renovación.

Cobertura incompleta de nombres de host

Un certificado cubre únicamente los nombres listados en su campo Subject Alternative Name (SAN). Un certificado para example.com no protege www.example.com a menos que www esté expresamente listado — y viceversa. Parte de sus usuarios recibirán una alerta de seguridad sin que usted lo perciba si siempre accede por la misma URL.

Los certificados comodín (*.example.com) solo cubren un nivel. Protegen tienda.example.com pero no es.tienda.example.com.

Ruptura de la cadena de certificación

Su certificado de servidor está firmado por un certificado intermedio, a su vez firmado por una entidad raíz de confianza. Su servidor web debe enviar el certificado intermedio. Si no lo hace, los navegadores de escritorio suelen descargarlo en segundo plano, pero los navegadores móviles, dispositivos Android antiguos y clientes de API rechazarán la conexión por falta de confianza.

Esta es la razón por la que un sitio puede funcionar en su ordenador y fallar en el teléfono de un cliente.

Versiones obsoletas de TLS

TLS 1.2 es el estándar mínimo aceptable. TLS 1.3 es más rápido — completa la negociación en un solo viaje de red (round trip). TLS 1.0 y 1.1 están obsoletos, son rechazados por navegadores modernos e incumplen los estándares de pago con tarjeta PCI-DSS.

Certificados de pago frente a gratuitos

En nivel de cifrado son idénticos. Let's Encrypt ofrece los mismos algoritmos y el mismo soporte en navegadores que un certificado de pago. La barra de dirección verde desapareció hace años de los navegadores. Utilice certificados gratuitos salvo exigencia contractual explícita.

Preguntas frecuentes

¿Con cuánta antelación conviene renovar un certificado?

Los procesos automatizados deben renovar al restar un tercio de la vigencia — día 60 en Let's Encrypt. Configure una alerta externa a los 14 días para detectar si la tarea de renovación automática ha fallado silenciosamente.

¿Es un certificado gratuito tan seguro como uno de pago?

A nivel de cifrado, es exactamente idéntico. Let's Encrypt utiliza los mismos algoritmos y recibe el mismo tratamiento en navegadores. Los certificados de pago añaden validación de empresa o seguros de garantía, pero los navegadores ya no distinguen visualmente entre ambos.

¿Por qué el comprobador advierte de un fallo en la cadena si mi web abre bien?

Los navegadores de escritorio descargan el certificado intermedio faltante en segundo plano, ocultando el error. Los dispositivos móviles y clientes de API externos no lo hacen y bloquean el acceso por certificado no confiable.

¿Necesito un certificado wildcard (*)?

Solo si gestiona múltiples subdominios dinámicos. En caso contrario es preferible listar los nombres exactos: un certificado comodín expone un mayor radio de riesgo si la clave privada se ve comprometida.

Otras herramientas gratuitas

Cuéntenos qué objetivo busca alcanzar.

Un equipo. Tres oficinas. Esté donde esté, recibe la respuesta de un especialista sénior, no un guion de ventas.

Solicitar propuesta → Escríbanos ahora

Una propuesta detallada en un día laborable, en su idioma.