Solucionar los errores SSL más habituales

Un error de certificado bloquea a sus visitantes de inmediato, pero los mensajes de los navegadores no siempre dejan claro de dónde viene el problema. Estos son los errores más frecuentes, con su causa probable y la corrección que debe aplicar.

Antes de nada, un primer diagnóstico en diez segundos: pase el dominio por el comprobador SSL. Indica la fecha de caducidad, los nombres cubiertos y el emisor.

Certificado caducado

Mensajes: NET::ERR_CERT_DATE_INVALID (Chrome, Edge), SEC_ERROR_EXPIRED_CERTIFICATE (Firefox), «Este certificado ha caducado» (Safari).

Causas probables:

• La renovación automática ha fallado (Certbot, panel del proveedor de alojamiento, CDN).
• El certificado se ha renovado, pero el servidor web no se ha recargado y sigue sirviendo el antiguo.
• Se ha olvidado uno de los servidores situados detrás del balanceador de carga.
• Más raramente, el reloj del ordenador del visitante está mal.

Corrección: renueve, recargue el servicio y compruébelo desde el exterior. La guía específica sobre NET::ERR_CERT_DATE_INVALID detalla cada caso.

El nombre no coincide

Mensajes: NET::ERR_CERT_COMMON_NAME_INVALID, SSL_ERROR_BAD_CERT_DOMAIN.

El certificado es válido, pero no para la dirección solicitada. Ejemplos clásicos:

• El certificado cubre ejemplo.es, pero no www.ejemplo.es, o al revés.
• Se ha añadido un nuevo subdominio sin ampliar el certificado.
• El servidor sirve el certificado por defecto de otro sitio, por un bloque server_name o VirtualHost incorrecto, o por un cliente demasiado antiguo para enviar el SNI.

Corrección: vuelva a emitir el certificado incluyendo todos los nombres necesarios, por ejemplo con certbot --nginx -d ejemplo.es -d www.ejemplo.es, y revise la configuración de los hosts virtuales.

Autoridad no reconocida o cadena incompleta

Mensajes: NET::ERR_CERT_AUTHORITY_INVALID, SEC_ERROR_UNKNOWN_ISSUER o, en las herramientas, unable to get local issuer certificate.

Causas probables:

• El servidor solo envía el certificado, sin los intermedios. Con Let's Encrypt, es el error clásico de usar cert.pem en lugar de fullchain.pem.
• El certificado es autofirmado o lo ha emitido una autoridad interna de la empresa.
• Un proxy o un antivirus intercepta el tráfico en el equipo del visitante.

Corrección: configure el archivo de cadena completa y después pruebe:

openssl s_client -connect ejemplo.es:443 -servername ejemplo.es -showcerts </dev/null

La salida debe listar al menos dos certificados y terminar con Verify return code: 0 (ok).

El candado desaparece: contenido mixto

La página está en HTTPS, pero carga una imagen, un script o una fuente por http://. El navegador quita el candado o bloquea el recurso. Abra la consola del navegador (F12): ahí aparece cada recurso afectado. Sustituya las URL por https:// o por rutas relativas. En WordPress, haga un buscar y reemplazar en la base de datos.

Errores de protocolo

Mensajes: ERR_SSL_PROTOCOL_ERROR, ERR_SSL_VERSION_OR_CIPHER_MISMATCH, SSL_ERROR_NO_CYPHER_OVERLAP.

El navegador y el servidor no encuentran ningún protocolo ni cifrado en común. Lo más habitual es que el servidor solo acepte protocolos antiguos o que escuche en HTTP simple en el puerto 443. Active TLS 1.2 y 1.3 y revise la directiva listen 443 ssl y la ruta de los archivos del certificado. La guía Buenas prácticas de seguridad SSL ofrece una configuración de referencia.

El error solo afecta a algunos visitantes

• Solo en el móvil o en una aplicación: suele ser una cadena incompleta. Los navegadores de escritorio a veces completan por sí mismos los intermedios que faltan; las aplicaciones y los dispositivos antiguos, no.
• Solo en una red corporativa: un proxy de inspección TLS sustituye el certificado por el suyo.
• Solo en el equipo de un visitante: su fecha del sistema está mal o un antivirus intercepta el tráfico.
• Solo de vez en cuando: uno de los servidores detrás de su balanceador de carga sirve un certificado distinto de los demás.

Mejor prevenir que reparar

La mayoría de estos incidentes se deben a un certificado que caduca sin que nadie lo haya visto venir. Añada sus dominios a SSL Expiration Reminder: el certificado se comprueba cada día y usted recibe un aviso antes del vencimiento, así como cuando un certificado deja de ser válido.