Qué pasa cuando caduca un certificado SSL y cómo evitarlo
Un certificado SSL caducado es uno de esos problemas que no avisan. La web funciona perfectamente el lunes y el martes muestra una pantalla roja de advertencia que espanta a los visitantes. Y casi nunca es porque nadie renovara el certificado: es porque una renovación automática dejó de funcionar hace semanas y nadie se enteró.
Qué es un certificado SSL
Es un documento digital que hace dos cosas: cifra la comunicación entre el visitante y tu web, y demuestra la identidad del dominio, porque una autoridad de confianza verificó que quien lo pidió controla ese dominio. Técnicamente hoy se llama TLS, pero todo el mundo lo sigue llamando SSL. Es lo que hace que la dirección empiece por https y aparezca el candado.
Qué pasa cuando caduca
- Pantalla de advertencia a pantalla completa. Chrome muestra un error del tipo
NET::ERR_CERT_DATE_INVALIDy otros navegadores mensajes parecidos. La mayoría de visitantes da media vuelta. - Los formularios, pagos e inicios de sesión dejan de funcionar o se bloquean.
- Las aplicaciones y las integraciones que llaman a tu web fallan sin mostrar nada al usuario, y a veces se tarda días en descubrirlo.
- Pierdes posiciones. Los buscadores penalizan las webs que no ofrecen una conexión segura fiable.
Por qué se rompen las renovaciones
Las causas más habituales, de más a menos frecuente:
- Un cambio de DNS o de hosting. El sistema que renovaba el certificado ya no controla el dominio, y la renovación falla en silencio.
- El proceso automático se detuvo. Una tarea programada que se borró, un servidor reiniciado o una actualización que rompió la herramienta de renovación.
- El certificado cubre «ejemplo.com» pero no «www.ejemplo.com» (o al revés), y la variante sin cubrir empieza a fallar.
- Un certificado comprado de pago que nadie recordó renovar. Suele coincidir con un cambio de personas en el equipo.
Cada vez duran menos
Los certificados gratuitos de Let's Encrypt duran 90 días y se diseñan para renovarse solos. Y la tendencia general del sector es acortar la vida de todos los certificados. Según el calendario aprobado por la industria, el máximo permitido bajó a 200 días en marzo de 2026 y seguirá reduciéndose en los años siguientes, hasta llegar a 47 días. La consecuencia práctica es clara: la renovación manual deja de ser viable. Tiene que ser automática y hay que vigilarla.
Cómo comprobar el certificado
Con el navegador
Pulsa el candado a la izquierda de la dirección y busca «La conexión es segura» y «Certificado válido». Ahí verás las fechas de emisión y caducidad.
Con nuestro verificador
Escribe el dominio en el verificador SSL. Comprueba si tu navegador acepta la conexión y consulta los registros públicos de transparencia para mostrarte quién emitió el certificado, cuándo caduca y qué dominios cubre.
Con la línea de comandos
Si tienes acceso a un terminal, este comando muestra las fechas del certificado real que presenta el servidor:
echo | openssl s_client -connect ejemplo.com:443 -servername ejemplo.com 2>/dev/null | openssl x509 -noout -datesCómo arreglarlo si ya caducó
- Hosting compartido: entra en el panel de control, busca la sección de SSL o «Seguridad» y pulsa instalar o renovar el certificado para tu dominio. Después, espera unos minutos y vuelve a comprobarlo.
- Servidor propio (VPS): si usas Let's Encrypt con Certbot, ejecuta
certbot renewy revisa el registro de errores. Para probar sin gastar intentos, usacertbot renew --dry-run. - Certificado de pago: renuévalo con el proveedor, descarga el nuevo archivo (incluyendo la cadena intermedia) e instálalo.
- Comprueba las dos variantes del dominio, con y sin «www», y desde un móvil con datos, no solo desde tu ordenador de siempre.
Cómo evitar que vuelva a pasar
- Activa la renovación automática y confirma que funciona.
- Pon una alerta en el calendario a 30 y a 14 días de la caducidad. Si la renovación es automática, la alerta sirve de red de seguridad.
- Revisa el certificado después de cualquier cambio de DNS, de hosting o de servidor.
- Usa un monitor gratuito que te avise por correo si el certificado va a caducar.
Lo que nuestro verificador puede y no puede decir
Un navegador no puede leer el certificado de otro dominio: es una protección deliberada. Por eso la fecha de caducidad se toma de los registros públicos de transparencia de certificados y corresponde al último certificado publicado para ese dominio, que casi siempre es el que está en uso, aunque no podemos garantizarlo. Tampoco analizamos la calidad de la configuración (versiones de TLS, cifrados). Para eso existen analizadores especializados que se ejecutan desde un servidor.