Entender los certificados SSL/TLS
Qué es realmente un certificado SSL, qué contiene, quién lo emite y por qué siempre acaba caducando.
Lectura: 4 min Actualizado el 26 octubre 2026
El pequeño candado de la barra de direcciones se basa en un archivo de unos pocos kilobytes: el certificado SSL, que en realidad debería llamarse certificado TLS. El protocolo SSL se abandonó hace mucho tiempo, pero el nombre se ha mantenido. Esta guía explica qué contiene ese archivo, quién lo emite y por qué su fecha de caducidad es el punto débil de la mayoría de los sitios web.
Para qué sirve un certificado
Un certificado cumple dos funciones a la vez:
- Cifrar la conexión entre el navegador y el servidor. Las contraseñas, los formularios y las cookies dejan de circular en texto claro.
- Demostrar la identidad del servidor. El navegador comprueba que realmente se comunica con
ejemplo.esy no con un intermediario que se hace pasar por él.
Sin un certificado válido, los navegadores muestran una advertencia a pantalla completa y la mayoría de los visitantes se marchan. Las API y las aplicaciones móviles, por su parte, simplemente se niegan a conectarse.
Qué contiene un certificado
Un certificado es un documento firmado que asocia una clave pública a uno o varios nombres de dominio. Incluye, entre otros:
- Los nombres cubiertos (campo Subject Alternative Name):
ejemplo.es,www.ejemplo.eso*.ejemplo.esen el caso de un certificado wildcard. - El emisor: la autoridad de certificación (AC) que ha firmado el certificado, por ejemplo Let's Encrypt, Sectigo o DigiCert.
- El periodo de validez: una fecha de inicio (notBefore) y una fecha de fin (notAfter). Pasada esa fecha, ningún navegador lo acepta.
- La clave pública y su algoritmo (RSA de 2048 bits, ECDSA P-256…).
La clave privada correspondiente no figura en el certificado: permanece en su servidor y nunca debe salir de él.
La cadena de confianza
Su navegador no conoce su certificado. Confía en un puñado de autoridades raíz preinstaladas en el sistema. Estas raíces firman certificados intermedios, que a su vez firman su certificado.
Por lo tanto, el servidor debe enviar su certificado y los intermedios (lo que suele llamarse fullchain). Si solo envía el certificado, algunos navegadores se las arreglan, pero muchos clientes (curl, aplicaciones móviles, API) muestran un error del tipo «unable to get local issuer certificate».
Los niveles de validación: DV, OV, EV
| Tipo | Qué se comprueba | Plazo | Uso habitual |
|---|---|---|---|
| DV (validación de dominio) | Que usted controla el dominio | De unos segundos a unos minutos | La gran mayoría de los sitios, Let's Encrypt |
| OV (validación de organización) | El dominio y la existencia legal de la empresa | De uno a unos pocos días | Sitios corporativos, requisitos contractuales |
| EV (validación extendida) | Comprobaciones exhaustivas de la organización | Varios días | Bancos, grandes cuentas |
El cifrado es exactamente el mismo en los tres casos. Desde que los navegadores dejaron de mostrar la barra verde para los EV, la diferencia es sobre todo administrativa.
Por qué caduca un certificado
Un certificado no puede ser «ilimitado». La vida útil máxima la fija el CA/Browser Forum, que reúne a las autoridades de certificación y a los fabricantes de navegadores. Se ha dividido por más de seis en quince años y sigue bajando: 200 días desde marzo de 2026, luego 100 días en 2027 y 47 días en 2029. Los certificados de Let's Encrypt, por su parte, duran actualmente 90 días. Detallamos este calendario en nuestra guía sobre el paso a 47 días.
Las duraciones cortas limitan los daños si una clave se ve comprometida y obligan a automatizar. Pero también multiplican las ocasiones de olvido: una renovación automática que falla sin avisar, una tarjeta bancaria caducada en el proveedor, un servidor migrado sin trasladar la tarea programada…
Lo que debe recordar
- Un certificado asocia una clave pública a unos nombres de dominio durante un tiempo limitado.
- El servidor debe enviar la cadena completa, no solo el certificado.
- DV, OV y EV cifran de la misma forma; solo cambia la verificación de la identidad.
- Los periodos de validez se acortan: vigilar las fechas de caducidad se vuelve imprescindible, incluso con renovación automática.
¿Quiere ver todo esto en su propio sitio? Use el comprobador SSL gratuito: muestra el emisor, los nombres cubiertos, la fecha de caducidad y el protocolo utilizado.