Su certificado SSL caduca: qué hacer antes de que sus clientes vean una advertencia

El candado junto a la dirección de su web significa que su sitio tiene un certificado SSL. Es lo que mantiene cifrado todo lo que un cliente escribe en su formulario de contacto o en su carrito mientras viaja hasta el servidor. La mayoría de los propietarios nunca piensa en él, porque durante años simplemente está ahí y funciona.

Hasta el día en que deja de funcionar. Un certificado tiene fecha de caducidad, igual que un pasaporte. Cuando esa fecha pasa, los navegadores dejan de mostrar su sitio y muestran en su lugar una advertencia a pantalla completa. Normalmente un cliente lo nota antes que usted.

Comprobar su certificado lleva unos dos minutos. A continuación explicamos cómo hacerlo, qué ocurre cuando un certificado caduca y qué preguntar a su empresa de alojamiento para que ese día no llegue.

Cómo comprobar el certificado usted mismo

Abra su sitio en Chrome y haga clic en el icono a la izquierda de la dirección. En las versiones recientes ya no es un candado, sino un pequeño icono con dos controles deslizantes. Elija La conexión es segura y después El certificado es válido.

En la ventana que se abre, busque tres datos:

• a quién se emitió el certificado, que debería ser su dominio,
• quién lo emitió, por ejemplo Let's Encrypt, Sectigo o DigiCert,
• el periodo de validez, con la fecha de caducidad.

La herramienta gratuita comprobación de certificado SSL (en inglés) muestra lo mismo y, además, si la cadena de certificados está completa y si http redirige a https.

Si quedan varias semanas, de momento no hay nada de qué preocuparse. Los certificados que se renuevan automáticamente suelen sustituirse alrededor de un mes antes de caducar. Si solo quedan unos días y el certificado sigue siendo el antiguo, algo ha fallado en la renovación y hay que avisar de inmediato.

Qué pasa cuando un certificado caduca

Su sitio no desaparece de internet, pero casi nadie llegará a él. Chrome muestra una pantalla que dice La conexión no es privada, con el código NET::ERR_CERT_DATE_INVALID. Firefox y Safari tienen sus propias versiones de la misma advertencia.

Técnicamente, un visitante puede abrir la configuración avanzada y continuar. Quien solo quería pedir cita o consultar su horario no lo hará. Cerrará la pestaña y volverá a los resultados de búsqueda, donde su competencia está a un clic.

También hay efectos menos visibles. Los servicios que se conectan a su sitio automáticamente, como una pasarela de pago que confirma que un pedido está pagado, pueden empezar a dar errores. Los anuncios en Google o Facebook siguen gastando su presupuesto, solo que ahora llevan a la gente directamente a una pantalla de advertencia.

La solución en sí suele llevar minutos. Su empresa de alojamiento o su desarrollador emite un certificado nuevo y el sitio vuelve a la normalidad. El problema es que alguien tiene que darse cuenta primero y, si el certificado caduca un viernes por la noche, eso puede significar el lunes por la mañana.

La renovación automática y por qué a veces falla

Hoy la mayoría de las empresas de alojamiento emiten certificados gratuitos de Let's Encrypt o de un proveedor similar y los renuevan automáticamente. Un certificado de Let's Encrypt dura 90 días, así que sin automatización nadie podría seguir el ritmo. Los certificados de pago también son cada vez más cortos. Desde marzo de 2026 ningún certificado de confianza pública puede tener una validez superior a 200 días, y está previsto que ese límite baje a 47 días en 2029. La renovación manual una vez al año está desapareciendo.

La automatización funciona bien mientras nada cambie. Los motivos más habituales por los que deja de funcionar:

• el dominio se trasladó a otro servidor o se puso detrás de un servicio proxy, y el alojamiento antiguo sigue intentando renovar un certificado que ya no puede verificar,
• alguien añadió una redirección o una regla de cortafuegos que también bloquea la dirección usada para demostrar que el dominio es suyo,
• el certificado se compró en su día a mano a otra empresa y nadie puso un recordatorio,
• una renovación de pago falló porque la tarjeta de la cuenta había caducado.

Un cambio más del que poca gente se enteró. En 2025 Let's Encrypt dejó de enviar correos de aviso de caducidad. Si alguien en su empresa contaba con «me llegará un correo y entonces me ocupo», ese correo ya no va a llegar.

Cuatro direcciones para un solo sitio

En la práctica, su sitio tiene cuatro direcciones:

• http://sudominio.com
• http://www.sudominio.com
• https://sudominio.com
• https://www.sudominio.com

Escriba cada una a mano en la barra de direcciones. Las cuatro deberían acabar en una misma dirección https. Si alguna se queda en http sin más, los formularios de esa versión del sitio envían los datos sin cifrar.

También ocurre que la versión sin www funciona y la versión con www muestra una advertencia. Eso significa que el certificado cubre solo uno de los dos nombres. Chrome indica entonces NET::ERR_CERT_COMMON_NAME_INVALID.

Es fácil pasarlo por alto, porque usted siempre escribe su dirección igual. Mientras tanto, una tarjeta de visita antigua, una firma de correo o una ficha en un directorio pueden estar enviando a la gente justo a la otra versión.

La advertencia de contenido mixto

A veces el certificado es perfectamente válido y aun así el navegador no muestra un candado limpio. En Chrome verá un aviso de que su conexión con el sitio no es completamente segura. A veces simplemente no cargan algunas imágenes.

Esto se llama contenido mixto. La página se carga por https, pero dentro de ella algunos archivos se siguen pidiendo por el antiguo http. Suele ser un resto del cambio a certificado de hace años: direcciones de imágenes en entradas antiguas, un script de contador de visitas, una fuente o el banner de un socio que todavía apuntan a http://. Los navegadores bloquean esos elementos o intentan sustituirlos, así que la página se ve algo rota y su visitante ve un mensaje que no inspira confianza.

Corregirlo es trabajo de su desarrollador. Tiene que encontrar cada enlace que empieza por http:// y cambiarlo por https://, tanto en el contenido como en el tema. En WordPress suele ser una única operación sobre la base de datos, que conviene hacer después de una copia de seguridad.

Qué preguntar a su empresa de alojamiento

Un correo a su empresa de alojamiento, o a quien se ocupe del sitio, lo resuelve:

1. ¿El certificado de nuestro dominio se renueva automáticamente y quién lo emite?
2. ¿Cubre tanto la versión con www como la versión sin www?
3. ¿Las cuatro versiones de la dirección redirigen a una única dirección https?
4. ¿Quién recibe el aviso si falla una renovación y con qué rapidez actuará?
5. ¿Hay contenido mixto en el sitio?

Usted mismo puede añadir algo pequeño. Ponga un recordatorio en su calendario dos semanas antes de la fecha de caducidad que acaba de leer. Si ese día los datos del certificado ya muestran una fecha nueva y posterior, la automatización funciona. Si no, tiene dos semanas para resolverlo en lugar de una caída un viernes por la noche.