Certificados SSL/TLS Explicados (Sin Tecnicismos)
Qué hacen los certificados HTTPS, por qué los navegadores te avisan y cómo verificar la caducidad y los problemas de cadena en tus propios dominios.
Cuando ves el candado en el navegador, TLS (que todavía se suele llamar SSL) está cifrando el tráfico entre tú y el servidor. Un certificado vincula una clave pública a un nombre de host (y a veces a la identidad de una empresa) para que tu navegador pueda verificar que estás hablando con el sitio real, y no con un impostor en la misma red Wi‑Fi.
Qué demuestra realmente el certificado
- Domain Validation (DV) — Confirma que controlas el dominio; los visitantes obtienen cifrado pero una prueba de identidad limitada.
- Organization Validation (OV) / Extended Validation (EV) — Verificaciones más rigurosas sobre la entidad legal; EV solía mostrar la barra verde de marca, pero es menos visible en los navegadores modernos.
Para la mayoría de los sitios, los certificados DV gratuitos de Let's Encrypt son suficientes: cifrado + renovación automatizada.
La cadena de certificados
Los navegadores confían en las CAs raíz incluidas en el sistema operativo. Tu servidor envía el certificado hoja + los intermedios; el navegador construye la cadena hasta llegar a una raíz de confianza. Si falta un intermedio, algunos clientes muestran el error "certificado no confiable" aunque OpenSSL en tu equipo local funcione correctamente.
Configura siempre tu servidor para servir la cadena completa que documenta tu CA.
Caducidad y renovación
Los certificados caducan. Let's Encrypt emite certificados de corta duración (90 días) para fomentar la automatización. Configura la renovación ACME (Certbot, Caddy, Traefik o el panel de tu proveedor de hosting) y monitoriza los fallos.
Los certificados caducados afectan a:
- HTTPS para los usuarios
- APIs que fijan TLS o usan clientes estrictos
- Webhooks si tu receptor valida mal el TLS saliente
Discordancia de nombre de host
Un certificado para www.example.com puede no cubrir example.com a menos que las entradas SAN incluyan ambos, o uses un comodín *.example.com (que no cubre el apex sin prefijo).
Usa nuestro SSL Checker para ver la caducidad, el emisor y la cobertura de nombres de host desde la perspectiva de la internet pública.
DNS antes que TLS
TLS depende de que los clientes lleguen a la IP correcta. Tras migraciones, confirma los registros A/AAAA/CNAME con DNS Lookup antes de invertir tiempo depurando suites de cifrado.
Si las redirecciones HTTP se comportan de forma incorrecta, el HTTP Status Checker ayuda a verificar las cadenas 301/302 de http → https.
Lista de verificación práctica
- Activa HTTPS en todas partes; redirige HTTP con 301
- Sirve HSTS solo cuando estés seguro de que todos los subdominios admiten HTTPS
- Automatiza la renovación y configura alertas con menos de 14 días para la caducidad
- Prueba desde redes móviles y proxies corporativos, no solo desde tu oficina
HTTPS es el mínimo indispensable para SEO, seguridad y la confianza del usuario; y resolver problemas de cadena o de nombre de host suele ser más rápido de lo que parece una vez que sabes qué buscar.