Cuando algo va mal con el certificado SSL de un sitio, el navegador muestra una página de aviso con un código críptico. El código te dice qué falla, si sabes leerlo. Estos son los que más te encontrarás, con su causa habitual y su solución.

NET::ERR_CERT_DATE_INVALID: el certificado ha caducado

Qué significa: las fechas de validez del certificado no incluyen el día de hoy. Lo más frecuente es que haya caducado. Menos a menudo, todavía no es válido, o el reloj del dispositivo del visitante está muy mal.

Qué hacer:

NET::ERR_CERT_COMMON_NAME_INVALID: el nombre no coincide

Qué significa: el certificado se emitió para una dirección distinta de la que escribió el visitante. Un certificado para example.com no cubre automáticamente www.example.com ni shop.example.com a menos que esos nombres figuren en él.

Qué hacer: emite un certificado que incluya todos los nombres que usas (los «nombres alternativos del sujeto») o un certificado comodín (wildcard) para los subdominios. Nuestro comprobador de certificados SSL gratuito lista los nombres que cubre un certificado. Comprueba también que la dirección apunta al servidor correcto. Un dominio que apunta a un servidor de hosting con el certificado del sitio de otra persona mostrará este error.

NET::ERR_CERT_AUTHORITY_INVALID: el certificado no es de confianza

Qué significa: el navegador no confía en quien firmó el certificado. Causas habituales:

  • Un certificado autofirmado, que el servidor creó para sí mismo. Vale para pruebas, no para internet público.
  • Una cadena incompleta. Un certificado es de confianza a través de una cadena de certificados «intermedios» hasta una raíz de confianza. Si el servidor no envía los certificados intermedios, algunos navegadores y dispositivos no pueden completar la cadena, así que la web funciona para ti y falla para otros, sobre todo en móviles y sistemas antiguos.
  • Un certificado de una autoridad en la que el navegador no confía.
  • Software en la red del visitante que inspecciona el tráfico cifrado, como algunos cortafuegos de empresa.

Qué hacer: instala un certificado de una autoridad de confianza y asegúrate de que el servidor envía la cadena completa, normalmente instalando el archivo «fullchain» y no solo el certificado. El comprobador SSL de arriba muestra si la cadena está completa.

NET::ERR_CERT_REVOKED: el certificado fue cancelado

Qué significa: la autoridad que emitió el certificado lo ha revocado, por ejemplo porque se expuso la clave privada o porque el certificado se sustituyó.

Qué hacer: emite e instala un certificado nuevo, con una clave privada nueva.

ERR_SSL_PROTOCOL_ERROR y ERR_SSL_VERSION_OR_CIPHER_MISMATCH

Qué significa: el navegador y el servidor no pudieron ponerse de acuerdo sobre cómo cifrar la conexión. Las causas típicas son un servidor que solo admite versiones obsoletas del protocolo, un certificado que no está instalado para esa dirección, o un proxy o CDN mal configurado.

Qué hacer: comprueba que HTTPS está realmente activado para la dirección, actualiza la configuración TLS del servidor web para que admita las versiones actuales (TLS 1.2 y 1.3) y revisa los ajustes de cualquier CDN o proxy que haya delante de tu sitio.

«No seguro» en una página con problema en el candado: contenido mixto

Esto no es un error de certificado. El certificado está bien, pero la página carga algunas imágenes, scripts o estilos por http:// sin cifrar. Los navegadores marcan la página como no totalmente segura o bloquean esas partes. Cambia los enlaces a https:// y revisa tu tema, tus plugins y tu base de datos en busca de direcciones http:// escritas a mano.

Primeros pasos ante cualquier error SSL

  1. Haz clic en los detalles del aviso (o en el candado) para leer el código exacto.
  2. Comprueba el certificado desde fuera, no solo en tu propio navegador, que puede haber guardado una cadena buena en caché.
  3. Comprueba cada dirección que uses, incluido el www, el dominio sin www y los subdominios.
  4. Comprueba las fechas, porque un certificado caducado es, con diferencia, la causa más común.

Asegúrate de enterarte primero

Los problemas de certificado son una de las caídas más fáciles de prevenir, porque las fechas se conocen con semanas de antelación. ServerMonitor lee el certificado que reciben realmente tus visitantes, comprueba la cadena y el nombre, y te avisa con mucha antelación antes de que caduque, y de nuevo cuando se renueva. Consulta qué monitorizar en tu sitio web para ver cómo encaja con las demás comprobaciones.