Seguridad
Certificados SSL/TLS: errores comunes que rompen confianza
Cadena incompleta, expiración silenciosa, hostname incorrecto y protocolos obsoletos: cómo detectarlos antes de que el cliente vea «Su conexión no es privada».
11 min de lectura · Actualizado 2026-07-22
Lo mínimo que exige un cliente real
Un certificado TLS válido para el hostname exacto que el usuario escribió (www o apex), cadena de confianza completa hasta una CA reconocida, y negociación con TLS 1.2 o 1.3 sin cipher suites deprecados. Chrome en Windows puede «perdonar» un intermediario faltante; Safari en iPhone o un cliente Java legacy no.
El error «NET::ERR_CERT_AUTHORITY_INVALID» suele indicar cadena incompleta: instalaste el certificado del dominio pero no el bundle intermedio que entregó la CA. DirectAdmin y LiteSpeed tienen campos separados para cert, key y CA bundle — omitir el último es el bug más frecuente post-migración.
El error «hostname mismatch» aparece cuando el certificado cubre www.empresa.com pero el usuario entra por empresa.com, o viceversa. Usa SAN con ambos nombres o redirige canónicamente antes de que el usuario vea el candado roto.
Ejecuta Web Checker 360 contra cada hostname público (apex, www, api, panel) después de cualquier cambio de hosting o CDN. No asumas que «en mi navegador funciona» es representativo.
Expiración: el incidente predecible
Los certificados Let's Encrypt duran 90 días; los comerciales, 1–2 años. Sin automatización ACME (certbot, acme.sh, integración del panel), la expiración es cuestión de calendario, no de si.
Configura alertas a 30, 14 y 7 días antes del vencimiento en monitoreo externo (UptimeRobot, Checkly) independiente del servidor: si el servidor cae, quieres saber que el certificado también expiraba mañana.
Renovaciones fallidas silenciosas ocurren cuando cambias DNS, deshabilitas HTTP-01 o el firewall bloquea el desafío. Revisa logs de certbot semanalmente en servidores sin panel automático.
Tras renovar, verifica la fecha «Valid until» con openssl s_client -connect tudominio.com:443 -servername tudominio.com | openssl x509 -noout -dates. El panel puede mostrar verde mientras el servicio real sirve el cert viejo por caché de configuración.
TLS moderno vs compatibilidad legacy
Desactiva SSLv3, TLS 1.0 y TLS 1.1 en todos los endpoints públicos. PCI-DSS y navegadores modernos ya no los soportan; mantenerlos abre ataques BEAST y POODle en clientes antiguos que igual deberías aislar.
Prioriza cipher suites con forward secrecy (ECDHE) y deshabilita RC4, 3DES y export ciphers. Mozilla SSL Configuration Generator ofrece bloques copy-paste para Nginx, LiteSpeed y Apache según perfil «modern» o «intermediate».
Si tienes integraciones B2B con sistemas legacy que exigen TLS 1.0, termina TLS en un proxy dedicado con IP restringida por allowlist, no en el front público del sitio web.
La auditoría de seguridad del Toolbox señala protocolos y ciphers débiles visibles desde internet. Corrige en el servidor o en Cloudflare (modo Full Strict) según dónde termina TLS.
Migraciones, CDN y certificados multi-dominio
Al migrar de hosting compartido a infraestructura administrada, exporta clave privada, certificado y cadena completa. Regenerar desde cero invalida el anterior y puede dejar ventanas sin cobertura si el DNS ya apuntó al destino.
Cloudflare y otros CDN pueden servir certificado edge mientras el origen usa otro. Modo «Full» sin validar origen permite certificados autofirmados en el backend — aceptable solo en red privada, no en túnel expuesto.
Wildcard (*.empresa.com) simplifica subdominios dinámicos pero no cubre el apex. Certificados multi-dominio (SAN) para 5–10 hostnames fijos suelen ser más baratos operativamente que wildcards mal aplicados.
Documenta en runbook qué CA emite cada certificado, qué cuenta tiene acceso al DNS para validación DNS-01, y quién recibe alertas de expiración cuando el responsable original está de vacaciones.
Respuesta ante incidente de certificado
Si el sitio muestra error de certificado en producción: confirma si es cadena, expiración o hostname con openssl y Web Checker 360 en paralelo. Comunica internamente en 15 minutos si afecta checkout o portal de clientes.
Rollback temporal: restaurar certificado anterior si conservas backup de key y pem válidos. Let's Encrypt permite reemitir en minutos si el desafío ACME funciona.
Post-mortem: ¿por qué falló la renovación automática? ¿Faltó monitor? ¿Cambio de DNS no documentado? Añade check de certificado al pipeline de deploy y al dashboard de NOC.
Conecta administra certificados ACME y validación en entornos DirectAdmin/LiteSpeed con monitoreo de expiración incluido en planes DevOps e hosting administrado.
Ponlo en práctica ahora
Usa las herramientas gratuitas del Toolbox para validar tu configuración en minutos.
¿Necesitas que lo resolvamos contigo?
Un ingeniero de Conecta puede aplicar esto en tu operación: servicio relacionado o conversación directa.