Comprobar un certificado SSL

Qué lee exactamente NetCheck

Al lanzar la comprobación, NetCheck abre una conexión cifrada con el sitio, como haría un navegador, y recupera el certificado que presenta el servidor. Sin base de datos intermedia: es el certificado que se sirve realmente en ese momento.

¿Cuánto dura un certificado?

Las reglas del CA/Browser Forum, que reúne a las autoridades de certificación y a los fabricantes de navegadores, están acortando esta duración por etapas. Desde marzo de 2026, un certificado público no puede superar los 200 días de validez. El límite bajará a 100 días en marzo de 2027 y a 47 días en marzo de 2029. Los certificados de Let's Encrypt ya duran 90 días.

En la práctica, renovar a mano se vuelve insostenible. Si tu alojamiento o tu servidor no renueva automáticamente (con el protocolo ACME, por ejemplo mediante Certbot), es el momento de automatizarlo. Procura renovar dos o tres semanas antes del vencimiento, para tener margen si la automatización falla.

Los errores más frecuentes

• Certificado caducado: la renovación automática falló sin avisar, a menudo porque cambió un registro DNS o un cortafuegos bloquea la validación.
• Nombre no cubierto: el certificado cubre ejemplo.es pero no www.ejemplo.es, o al revés. Mira la línea «También cubre»: deben figurar las dos formas.
• Cadena incompleta: el servidor envía el certificado del sitio pero olvida el certificado intermedio de la autoridad. Algunos navegadores lo recuperan solos y otros no, de ahí un error que solo aparece en ciertos dispositivos. Configura el servidor con el archivo «fullchain».
• Certificado autofirmado: aceptable en una red interna, nunca en un sitio público.
• Contenido mixto: el certificado está bien, pero la página carga imágenes o scripts por http://. El navegador muestra entonces un candado tachado. No es un problema del certificado: hay que corregir las direcciones de la página.

DV, OV, EV: ¿hay que pagar?

Un certificado de validación de dominio (DV) solo demuestra que quien lo solicita controla el dominio. Es lo que emite Let's Encrypt, gratis, con exactamente el mismo cifrado que los certificados de pago. Los OV y EV añaden una verificación de la identidad de la empresa, pero los navegadores dejaron de mostrar esa diferencia en la barra de direcciones hace años. Para la gran mayoría de sitios, un certificado DV gratuito y bien renovado es suficiente.

Certificados «wildcard»

Un certificado *.ejemplo.es cubre todos los subdominios de un nivel, como blog.ejemplo.es o tienda.ejemplo.es, pero ni ejemplo.es ni a.b.ejemplo.es. Simplifica la gestión cuando hay muchos subdominios, a costa de un riesgo mayor si se filtra su clave privada.

Una limitación que conviene conocer

Para leer el certificado, NetCheck negocia la conexión en TLS 1.2, la versión en la que el certificado viaja sin cifrar durante el intercambio inicial. Casi todos los servidores la aceptan todavía. Un servidor configurado solo en TLS 1.3 devolverá un mensaje explícito: el sitio funciona, pero la herramienta no puede leer su certificado.

Preguntas frecuentes

Mi certificado es válido pero el navegador muestra una alerta: ¿por qué?

Lo más habitual: un nombre no cubierto (con o sin www), una cadena incompleta o contenido mixto cargado por http. Comprueba también la hora del dispositivo: un reloj desfasado varios días hace creer al navegador que un certificado válido ha caducado o aún no está activo.

¿Cuántos días antes de la caducidad hay que actuar?

Con renovación automática, nada: basta con comprobar que la fecha avanza con regularidad. Sin automatización, renueva dos o tres semanas antes. Por debajo de una semana, trátalo como una urgencia.

¿Un certificado gratuito es menos seguro?

No. El cifrado es idéntico. Lo que distingue a un certificado de pago es la verificación de identidad, el soporte y a veces una garantía económica, no la seguridad de la conexión.

¿El candado garantiza que un sitio es honesto?

No. Solo garantiza que la conexión está cifrada y que el certificado corresponde al dominio. Un sitio de phishing puede tener perfectamente un certificado válido. Fíjate en el nombre de dominio, no en el candado.