Comprobar la fecha de caducidad de un certificado SSL

Saber cuándo caduca un certificado lleva unos segundos, siempre que conozca el método adecuado. Estos son los cuatro principales, del más sencillo al más técnico.

1. Con el comprobador en línea

Lo más rápido: introduzca el dominio en el comprobador SSL gratuito. Obtendrá:

• la fecha de caducidad y el número de días restantes;
• la autoridad que emitió el certificado;
• los nombres cubiertos y su correspondencia con el dominio solicitado;
• el protocolo TLS negociado y el tamaño de la clave.

No hay que instalar nada, y la prueba refleja exactamente lo que ven sus visitantes.

2. En el navegador

Chrome / Edge: haga clic en el icono situado a la izquierda de la dirección y luego en La conexión es segura → El certificado es válido. La fecha aparece en Período de validez.

Firefox: haga clic en el candado y luego en Conexión segura → Más información → Ver certificado.

Safari: haga clic en el candado y luego en Mostrar certificado.

Limitación: solo ve el certificado servido a su conexión. Detrás de un balanceador de carga, otro servidor puede servir un certificado distinto.

3. En la línea de comandos con OpenSSL

Ideal para scripts y servidores sin interfaz gráfica:

echo | openssl s_client -connect ejemplo.es:443 -servername ejemplo.es 2>/dev/null \
  | openssl x509 -noout -dates

Resultado:

notBefore=Sep 18 08:12:44 2026 GMT
notAfter=Dec 17 08:12:43 2026 GMT

notAfter es la fecha de caducidad. Algunas variantes útiles:

# Emisor, titular y fecha de caducidad
... | openssl x509 -noout -issuer -subject -enddate

# Nombres cubiertos (OpenSSL 1.1.1 o posterior)
... | openssl x509 -noout -ext subjectAltName

# Código de salida distinto de cero si el certificado caduca en menos de 30 días
... | openssl x509 -noout -checkend 2592000

La opción -servername es importante: sin ella, un servidor que aloja varios sitios puede devolver el certificado de otro dominio.

Con curl, es aún más corto:

curl -vI https://ejemplo.es 2>&1 | grep -i "expire"

4. Directamente en el servidor

Para leer un archivo de certificado (.pem o .crt):

openssl x509 -in /etc/letsencrypt/live/ejemplo.es/fullchain.pem -noout -enddate

Si utiliza Certbot:

sudo certbot certificates

Atención: el archivo del disco no es necesariamente el que el servidor web sirve realmente. Después de una renovación, hay que recargar Nginx o Apache. Por eso, compruébelo siempre también desde el exterior, con el método 1 o 3.

Comprobar un certificado no basta: hay que vigilarlo

Todos estos métodos ofrecen una foto en un momento dado. Para no tener que pensar más en ello, añada sus dominios a SSL Expiration Reminder: la fecha se comprueba automáticamente cada día y recibirá una alerta 30, 15, 7, 3 o 1 día(s) antes del vencimiento, o en cuanto un certificado deje de ser válido.