Certificado SSL: qué es y cómo funciona

Un certificado SSL es un pequeño archivo de datos, en formato X.509, que vincula un nombre de dominio con una clave pública criptográfica y está firmado por una autoridad de certificación (CA) en la que confían los navegadores. Cuando un navegador se conecta a tu sitio por HTTPS, el servidor presenta el certificado; el navegador comprueba la firma, el dominio y las fechas, y solo entonces establece la conexión cifrada.

El nombre es histórico. SSL fue sustituido por TLS hace mucho, y los certificados actuales se usan exclusivamente con TLS 1.2 y 1.3. «Certificado SSL» se quedó como término cotidiano, pero «certificado TLS» es el nombre preciso.

Qué contiene un certificado

• Nombres alternativos del sujeto (SAN): los hostnames para los que es válido, como example.com y www.example.com. Un comodín como *.example.com cubre un nivel de subdominios, pero no el dominio sin subdominio.
• Periodo de validez: fechas de «no antes de» y «no después de».
• Emisor: la CA que lo firmó, más los certificados intermedios que lo enlazan con una raíz de confianza.
• Clave pública y algoritmo de firma: normalmente RSA de 2048 bits o ECDSA P-256.

DV, OV y EV: no hay diferencia para el SEO

Los certificados de dominio validado (DV) demuestran el control del dominio; los de organización validada (OV) y de validación extendida (EV) añaden comprobaciones sobre la empresa que hay detrás. Los navegadores ya no muestran los EV con una barra verde especial, y los buscadores no posicionan los sitios de forma distinta según el tipo de certificado. Un certificado DV gratuito de Let’s Encrypt o de tu proveedor de hosting es totalmente adecuado para el SEO.

La validez se acorta

El CA/Browser Forum, que fija las reglas que siguen las CA, aprobó un calendario que reduce por etapas la vida máxima de los certificados TLS públicos: 200 días desde marzo de 2026, 100 días desde marzo de 2027 y 47 días desde marzo de 2029 (consulta el CA/Browser Forum). La renovación manual deja de ser realista; automatízala con el protocolo ACME (RFC 8555), que admiten la mayoría de los proveedores de hosting, los CDN y herramientas como Certbot.

Cómo inspeccionar un certificado

$ openssl s_client -connect example.com:443 -servername example.com \
    </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
subject=CN=example.com
issuer=C=US, O=Let's Encrypt, CN=R11
notBefore=Sep  2 08:14:10 2026 GMT
notAfter=Dec  1 08:14:09 2026 GMT
X509v3 Subject Alternative Name:
    DNS:example.com, DNS:www.example.com

Errores habituales

• Certificados caducados. Los navegadores muestran un aviso a pantalla completa que la mayoría de los visitantes no se salta, y los rastreadores pueden fallar al descargar las páginas.
• Hostnames que faltan. El certificado cubre www pero no el dominio sin www, o se añadió un subdominio nuevo sin volver a emitirlo.
• Cadena incompleta. El servidor no envía el certificado intermedio. Algunos navegadores lo reparan; otros clientes, incluidos los bots, fallan.
• Bloquear la renovación. Un registro CAA de DNS (Sistema de Nombres de Dominio) que no lista tu CA, o una regla de firewall que bloquea las peticiones de validación ACME, hace que la renovación automática falle sin avisar.

Cómo comprobarlo

El Comprobador SSL informa del emisor, las fechas de validez y los días restantes, los dominios cubiertos (SAN), la clave y la firma, la versión de TLS y si HTTP redirige a HTTPS. Cuando el certificado esté en orden, blinda HTTPS con HSTS (HTTP Strict Transport Security).

Preguntas frecuentes