Error NET::ERR_CERT_DATE_INVALID: causas y soluciones

«La conexión no es privada», seguido del código NET::ERR_CERT_DATE_INVALID: es el mensaje que muestran Chrome y Edge cuando la fecha del certificado no coincide con la fecha actual. Firefox muestra SEC_ERROR_EXPIRED_CERTIFICATE, y Safari, «Este certificado ha caducado».

En la mayoría de los casos, el certificado del sitio ha caducado. Pero primero hay que averiguar en qué lado está el problema.

Paso 1: ¿el problema está en el sitio o en el ordenador?

Pase el dominio por el comprobador SSL o abra el sitio desde otro dispositivo, por ejemplo su teléfono con datos móviles.

• El error aparece en todas partes: el certificado del sitio ha caducado. Vaya al paso 2.
• El error solo aparece en un dispositivo: el problema es local. Consulte «En el lado del visitante» más abajo.

Paso 2: en el lado del sitio, averiguar por qué ha caducado el certificado

La renovación automática ha fallado

Es la causa más frecuente con Let's Encrypt. En el servidor:

sudo certbot renew --dry-run

El mensaje de error suele indicar la causa: puerto 80 inaccesible, DNS que ya no apunta al servidor, webroot no encontrado, credenciales del plugin DNS no válidas. Corríjalo y ejecute sudo certbot renew.

El certificado se ha renovado, pero no se sirve

El nuevo certificado está en el disco, pero el servidor web sigue sirviendo el antiguo, cargado en memoria. Compare ambos:

sudo certbot certificates          # fecha en el disco
echo | openssl s_client -connect ejemplo.es:443 -servername ejemplo.es 2>/dev/null \
  | openssl x509 -noout -enddate   # fecha realmente servida

Si no coinciden, recargue el servicio: sudo systemctl reload nginx, o apache2, haproxy… Después, añada un deploy hook para que no vuelva a ocurrir. La guía Let's Encrypt y Certbot explica cómo hacerlo.

Un certificado de pago no se ha renovado

Pedido olvidado, tarjeta bancaria caducada, correo de recordatorio que llegó a un antiguo empleado… Renueve con el proveedor e instale el nuevo certificado con sus intermedios. Consulte Cómo renovar su certificado SSL.

Solo afecta a uno de los servidores

Detrás de un balanceador de carga, o con varios puntos de entrada (CDN, servidor de origen, subdominios), un único nodo puede servir un certificado caducado. En ese caso, el error aparece «una vez sí y otra no». Compruebe cada servidor por separado.

El certificado todavía no es válido

Menos habitual: la fecha de inicio del certificado está en el futuro. Ocurre cuando el reloj del servidor que generó el certificado está mal. Compruebe la sincronización NTP del servidor (timedatectl).

En el lado del visitante: cuando solo afecta a su dispositivo

• Fecha y hora del sistema incorrectas: es la causa número 1. Active el ajuste automático de la hora y vuelva a cargar la página.
• Antivirus o proxy corporativo que inspecciona el tráfico HTTPS con su propio certificado: actualícelo o desactive temporalmente el análisis HTTPS para hacer la prueba.
• Dispositivo muy antiguo: sus certificados raíz ya no están actualizados. Actualice el sistema.

¿Hay que hacer clic en «Acceder al sitio (no seguro)»?

Como visitante, solo si sabe exactamente por qué aparece el error. Si el sitio utiliza HSTS, el navegador ni siquiera ofrece esta opción.

Como propietario del sitio, no es una solución: la mayoría de los visitantes se irán, las API y las aplicaciones móviles dejarán de funcionar y los robots de los buscadores ya no podrán rastrear sus páginas.

No vuelva a ver este error en sus sitios

Este error es totalmente evitable: la fecha de caducidad se conoce con meses de antelación. Con SSL Expiration Reminder, cada certificado se comprueba automáticamente y usted recibe un aviso antes del vencimiento, por correo electrónico, Slack o Telegram, al igual que cualquier persona que añada como destinataria. El plan gratuito cubre 3 dominios.