¿Qué Es un Certificado SSL y por qué Es Importante?

El candado de la barra de direcciones del navegador y el "https://" del principio de una URL dependen de un certificado SSL. Los certificados son hoy tan habituales que es fácil olvidarse de ellos, hasta que uno caduca y los visitantes se encuentran con un aviso de seguridad a pantalla completa. Este artículo explica qué son los certificados, cómo funcionan, por qué importan y cómo evitar las caídas que provocan.

SSL, TLS y HTTPS

SSL (Secure Sockets Layer) fue el protocolo original para cifrar el tráfico web. Hace tiempo que lo sustituyó TLS (Transport Layer Security), y todas las versiones de SSL se consideran hoy inseguras. El nombre "certificado SSL" se ha quedado, pero los certificados que usas hoy funcionan con TLS, normalmente TLS 1.2 o TLS 1.3.

HTTPS es simplemente HTTP enviado por una conexión cifrada con TLS. Cuando una web usa HTTPS, los datos que se intercambian el navegador y el servidor van cifrados y protegidos contra manipulaciones.

¿Qué hace realmente un certificado?

Un certificado es un archivo firmado digitalmente que vincula una clave pública a uno o varios nombres de dominio. Tiene dos funciones:

1. Autenticación: demuestra al navegador que el servidor con el que habla está realmente autorizado a servir example.com, y no es un impostor que intercepta la conexión.
2. Hacer posible el cifrado: la clave pública del certificado se usa durante el handshake TLS para establecer las claves de cifrado de la sesión.

Sin autenticación, el cifrado por sí solo no bastaría: podrías tener una conexión perfectamente cifrada con un atacante.

Cómo comprueban los navegadores un certificado

Cuando un navegador se conecta a una web con HTTPS, el servidor presenta su certificado, normalmente junto con uno o varios certificados intermedios. Después, el navegador comprueba:

• La cadena de confianza: el certificado debe estar firmado, directamente o a través de intermedios, por una autoridad de certificación (CA) en la que confíen el navegador o el sistema operativo.
• El nombre de dominio: el dominio visitado debe figurar en el certificado (en el campo Subject Alternative Name). Un certificado para example.com no cubre automáticamente tienda.example.com, a menos que incluya ese nombre o un comodín como *.example.com.
• El periodo de validez: la fecha actual debe estar entre las fechas "no antes de" y "no después de" del certificado.
• La revocación y las políticas: los navegadores también aplican comprobaciones y requisitos adicionales fijados por el sector.

Si falla cualquier comprobación, el navegador muestra un aviso como "La conexión no es privada" y la mayoría de los visitantes se van. Puedes ver los detalles del certificado de cualquier web pública con nuestra herramienta para comprobar el certificado SSL.

Tipos de certificados

Según el nivel de validación

• Validación de dominio (DV): la CA solo comprueba que el solicitante controla el dominio. Los certificados DV pueden emitirse automáticamente en minutos y son los más usados. Ofrecen la misma fuerza de cifrado que los demás tipos.
• Validación de organización (OV): la CA también comprueba la organización que hay detrás del dominio.
• Validación extendida (EV): una comprobación más estricta de la organización. Los navegadores ya no dan a los certificados EV un indicador visual destacado, así que su ventaja práctica es limitada para la mayoría de las webs.

Según la cobertura

• Un solo dominio: un nombre, como www.example.com (a menudo incluyendo también el dominio sin www).
• Multidominio (SAN): varios nombres concretos en un solo certificado.
• Comodín (wildcard): todos los subdominios de primer nivel, como *.example.com.

Por qué son importantes los certificados SSL

Seguridad y privacidad

HTTPS protege las contraseñas, los envíos de formularios, los datos de pago y los datos personales para que nadie entre el visitante y el servidor pueda leerlos ni alterarlos, por ejemplo en una red wifi pública.

Confianza y comportamiento de los navegadores

Los navegadores modernos marcan las páginas en HTTP simple como "No seguro", sobre todo cuando tienen formularios. Muchas funciones del navegador, como la geolocalización y los service workers, solo están disponibles en orígenes seguros.

Buscadores

Google usa HTTPS como señal de posicionamiento desde 2014. Es una señal ligera comparada con la calidad del contenido, pero no hay motivo para renunciar a ella.

Disponibilidad

Esta es la parte que se pasa por alto con facilidad: un problema con el certificado deja tu web, en la práctica, sin servicio. Los navegadores bloquean el acceso con un aviso intermedio, y los clientes automáticos, como las APIs y las aplicaciones móviles, a menudo fallan directamente. Desde el punto de vista del visitante, un certificado caducado es una caída.

La caducidad del certificado: la caída previsible

Todo certificado tiene una vida útil fija. Según las reglas acordadas en el CA/Browser Forum, la vida máxima de los certificados de confianza pública se redujo a 200 días desde marzo de 2026, con nuevas reducciones escalonadas hasta 2029, cuando el máximo será de 47 días. Los certificados gratuitos de Let's Encrypt son válidos 90 días y están pensados para renovarse automáticamente.

Unas vidas útiles más cortas mejoran la seguridad, pero también obligan a que la renovación funcione de forma fiable. La renovación automática con el protocolo ACME lo resuelve en la mayoría de las webs. Aun así, las renovaciones fallan de vez en cuando, por ejemplo cuando:

• la web se mudó a un servidor nuevo y la tarea de renovación no se trasladó con ella;
• un cambio de DNS o de firewall bloquea la solicitud de validación de la CA;
• se obtuvo el certificado renovado, pero nunca se recargó el servidor web para usarlo;
• un certificado se instaló a mano y nadie se acordó de la fecha de caducidad;
• una CDN o un balanceador de carga usa su propio certificado, gestionado por separado.

Como las fechas de caducidad se conocen de antemano, estas caídas son totalmente evitables, siempre que alguien esté vigilando.

Otros errores de certificado habituales

• El nombre no coincide: el certificado no cubre el dominio visitado, por ejemplo falta la versión con www.
• Cadena incompleta: el servidor no envía el certificado intermedio. Algunos navegadores pueden solventarlo, pero otros clientes fallan.
• Certificado autofirmado: no lo ha emitido una CA de confianza. Aceptable para pruebas internas, no para webs públicas.
• Contenido mixto: la página carga por HTTPS pero incluye imágenes o scripts por HTTP, que los navegadores bloquean o señalan.

Cómo mantener tus certificados en buen estado

1. Automatiza la renovación con un cliente ACME o con la gestión de certificados integrada de tu proveedor de hosting.
2. Cubre todos los nombres que usas, incluidos www y cualquier subdominio.
3. Redirige HTTP a HTTPS con una sola redirección 301, y plantéate activar HSTS cuando todo funcione por HTTPS.
4. Comprueba el resultado tras cada cambio. La herramienta para comprobar el certificado SSL muestra el estado de confianza, los nombres cubiertos, la fecha de caducidad y la versión de TLS.
5. Vigila la caducidad de forma independiente. UptimeStats registra la fecha de caducidad y el emisor del certificado en cada comprobación HTTPS de tus webs monitoreadas y muestra los días que quedan, y un certificado que falla se convierte en una alerta de caída confirmada con el motivo "El certificado SSL ha caducado o todavía no es válido".

Para conocer otros motivos habituales por los que una web se queda sin servicio, lee ¿Qué provoca que una web se caiga?

Resumen

Los certificados SSL/TLS autentican tu web y permiten las conexiones HTTPS cifradas. Son esenciales para la seguridad, la confianza y la visibilidad en los buscadores, y un problema con el certificado es, en la práctica, una caída. Automatiza la renovación, cubre todos los nombres de dominio que usas y vigila las fechas de caducidad de forma independiente.