Comprobador de certificados SSL
Comprueba al instante el certificado SSL de cualquier dominio: fecha de vencimiento, entidad emisora, nivel de confianza y cadena completa. Gratis y sin iniciar sesión.
Cómo leer los resultados del certificado SSL
Cada campo del resultado aporta una pista distinta sobre el certificado. Aquí tienes qué significa cada dato y qué conviene revisar.
Emisor (nombre de la CA)
Es la organización que firmó y emitió el certificado. Debería ser una CA reconocida como Let's Encrypt, DigiCert, Sectigo o GlobalSign. Si emisor y sujeto comparten el mismo CN y el mismo O, el certificado es autofirmado y el navegador mostrará una advertencia.
Nombres alternativos del sujeto
Es la lista de dominios y subdominios para los que el certificado es válido. En producción, comprueba que estén tanto el dominio raíz como www. Una entrada wildcard (*.example.com) cubre todos los subdominios de primer nivel, pero no el dominio raíz ni los de segundo nivel.
Fecha de vencimiento y cuenta atrás
Es la fecha a partir de la cual el certificado deja de ser válido. La barra cambia de verde cuando quedan más de 30 días a amarillo cuando quedan entre 8 y 30, y a rojo cuando quedan menos de 7. Los certificados de Let's Encrypt caducan cada 90 días; los comerciales suelen durar 1 año.
Versión de TLS
Es la versión de TLS que negoció tu servidor para esta conexión. TLS 1.3 es el estándar actual: más rápido y más seguro. TLS 1.2 sigue siendo aceptable. TLS 1.0 y 1.1 están obsoletos y deberían estar desactivados; SSLv3 y SSLv2 son críticamente vulnerables.
Número de serie
Es un identificador único que la CA asigna a ese certificado concreto. Resulta útil para la gestión de certificados, las consultas de OCSP stapling y el seguimiento de incidentes cuando existen varios certificados para el mismo dominio.
Huella SHA-256
Es un hash criptográfico del contenido completo del certificado. Si dos huellas coinciden, se trata del mismo certificado. Compara la huella antes y después de una rotación para confirmar que la actualización se aplicó correctamente o para detectar una sustitución inesperada del certificado.
Plan de acción según el vencimiento del certificado
El vencimiento es la causa más habitual de una caída por SSL. Usa esta tabla para saber qué hacer según los días que queden.
| Días para el vencimiento | Estado | Acción recomendada |
|---|---|---|
| > 30 días | Correcto | No hace falta actuar. Programa un recordatorio de renovación para cuando falten 30 días. |
| 8–30 días | Aviso | Inicia la renovación ahora. La mayoría de las CA y los servicios de autorrenovación (Let's Encrypt, Certbot) empiezan a renovar cuando faltan 30 días. |
| 1–7 días | Urgente | Renueva de inmediato. Un certificado caducado provoca errores de navegador y bloquea todo el tráfico HTTPS. |
| 0 o menos | Caducado | El certificado ya ha caducado. Sustitúyelo cuanto antes: tu sitio está mostrando errores de seguridad a todos los visitantes. |
Errores SSL habituales en Chrome, Firefox y Safari: causas y soluciones
Estos son los errores SSL que más se repiten en los navegadores y lo que significa cada uno. Identifica la causa raíz con esta herramienta y aplica después la corrección adecuada.
La fecha valid_to del certificado ya quedó atrás. El certificado ha caducado y hay que renovarlo antes de que los navegadores vuelvan a confiar en la conexión.
Renueva el certificado con tu CA o tu proveedor de hosting. Verifica que la autorrenovación esté configurada correctamente: la mayoría de las CA renuevan automáticamente dentro de los 30 días previos al vencimiento.
El dominio que aparece en la barra de direcciones del navegador no figura en los campos CN o SAN del certificado. Suele ocurrir tras una migración de dominio, un desajuste de subdominio o la emisión del certificado para un dominio equivocado.
Reemite el certificado incluyendo el dominio correcto. Comprueba que tanto el dominio raíz (example.com) como el subdominio www (www.example.com) figuran en la lista SAN.
El certificado fue emitido por una CA que no está en el almacén de confianza del navegador o del sistema operativo. Esto incluye certificados autofirmados, certificados emitidos por una CA interna o cadenas en las que falta la CA intermedia.
Instala un certificado emitido por una CA pública de confianza. Si trabajas con una CA interna, instala el certificado raíz en el almacén de confianza del cliente. Asegúrate además de que el servidor envía la cadena intermedia completa.
La CA emisora ha revocado expresamente el certificado, normalmente porque la clave privada se vio comprometida, el dominio cambió de propietario o el certificado se emitió por error.
Obtén un certificado nuevo de inmediato. Si tú no lo revocaste, es posible que tu clave privada se haya visto comprometida: rota la clave, reemite el certificado e investiga la exposición.
El servidor está enviando una respuesta HTTP en un puerto HTTPS o un proxy devuelve un error HTTP antes de completar el handshake TLS. El puerto 443 recibe texto plano en lugar de TLS.
Confirma que el servidor está configurado para servir TLS en el puerto al que te conectas. Revisa la configuración del balanceador y del proxy para asegurarte de que la terminación SSL/TLS está bien definida.
El cliente y el servidor no logran ponerse de acuerdo sobre una versión de TLS o una suite criptográfica. Suele ocurrir cuando el servidor solo admite TLS 1.0/1.1, ya obsoletos en los navegadores modernos, o usa suites criptográficas retiradas.
Activa TLS 1.2 y TLS 1.3 en el servidor y desactiva TLS 1.0 y TLS 1.1. Actualiza la lista de suites criptográficas para eliminar RC4, 3DES y los cifrados de grado exportación. Usa el generador de configuración TLS de Mozilla para obtener ajustes listos para Nginx o Apache.
Cómo comprobar un certificado SSL en 3 pasos
Introduce un dominio
Escribe cualquier nombre de dominio, como github.com o api.example.com, en el campo de entrada. La herramienta elimina automáticamente cualquier prefijo https://. También puedes indicar un puerto personalizado si el servicio HTTPS no funciona en el puerto 443.
Inspecciona el certificado
En unos segundos verás el certificado completo: fecha de vencimiento y cuenta atrás, cadena emisora, estado de confianza, versión del protocolo (TLS 1.2 o 1.3), suite criptográfica, SAN y huella SHA-256. No almacenamos ningún dato.
Interpreta el resultado
Si el certificado está caducado, es autofirmado o presenta un desajuste de nombre de host, el resultado lo señalará claramente. La barra de vencimiento pasa a amarillo cuando faltan menos de 30 días y a rojo cuando faltan menos de 7. Puedes copiar todos los detalles con un clic.
¿Qué te indica un certificado SSL?
Un certificado SSL/TLS es una credencial digital que confirma la identidad de un sitio web y permite establecer una conexión cifrada. Cuando visitas un sitio por HTTPS, el navegador valida su certificado, emitido por una autoridad de certificación (CA) de confianza, antes de abrir el canal cifrado. Si el certificado no es válido, el navegador muestra advertencias de seguridad y puede bloquear el acceso, lo que afecta directamente a la confianza del usuario y a la visibilidad en buscadores.
Todo certificado SSL contiene 3 datos clave:
- •Sujeto: el nombre de dominio, y en OV/EV también la organización, para el que se emitió el certificado
- •Emisor: la autoridad de certificación (CA) que firmó y verificó el certificado
- •Periodo de validez: las fechas exactas de inicio y fin durante las que el certificado es de confianza
Lo que esta herramienta NO comprueba
Esta herramienta realiza un handshake TLS en tiempo real y lee el certificado. No comprueba:
- La fortaleza de la suite criptográfica con calificación A–F; para eso usa SSL Labs
- El encabezado HSTS ni el estado en la lista de precarga
- La configuración de OCSP stapling
- El certificate pinning (HPKP)
- El comportamiento de redirección de HTTP a HTTPS
Tipos de certificados SSL
Cada tipo de certificado implica un nivel distinto de verificación de identidad. Lo que cambia es lo que la entidad emisora comprobó antes de firmar, no la fortaleza del cifrado.
La CA solo verifica que el solicitante controla el dominio; no comprueba la identidad de la empresa. Suele emitirse en minutos mediante desafíos DNS o HTTP automatizados. Es adecuado para blogs, sitios personales y herramientas internas. En el sujeto solo aparecerá el CN (nombre de dominio), sin campo O (organización).
La CA verifica el control del dominio y la existencia legal de la organización. Normalmente tarda de 1 a 3 días laborables. El certificado muestra el nombre de la empresa en el campo O, de modo que cualquier visitante puede inspeccionarlo y ver quién está detrás. Recomendado para sitios corporativos y API.
Es la validación más rigurosa: la CA comprueba el dominio, la organización, la dirección física, la situación legal y la existencia operativa. Antes activaba la barra verde del navegador; hoy el nombre de la empresa se muestra en los detalles del certificado. Es habitual en entidades financieras y plataformas de comercio electrónico que procesan pagos.
Cubre un dominio raíz y todos sus subdominios de primer nivel mediante un patrón *.example.com en el CN o en el SAN. Un solo wildcard protege www.example.com, api.example.com, cdn.example.com y otros más. No cubre subdominios de segundo nivel como dev.api.example.com, que necesitan un certificado aparte.
Un único certificado puede cubrir varios dominios distintos gracias a la extensión Subject Alternative Names. Es habitual cuando se alojan varios productos bajo el mismo certificado, por ejemplo example.com, example.io y app.example.net. Hoy en día casi todos los certificados modernos usan SAN, incluso cuando cubren un solo dominio, con el CN reflejado también en la lista SAN.
Cuándo conviene comprobar un certificado SSL
Antes de desplegar
Comprueba que el certificado cubre exactamente el dominio que vas a poner en producción. Verifica que la entidad emisora sea una CA de confianza, que la lista SAN incluya tanto la variante www como el dominio raíz y que el protocolo sea TLS 1.2 o superior antes de apuntar el DNS al entorno productivo.
Seguimiento de renovaciones
Revisa las fechas de vencimiento con antelación. Los certificados de Let's Encrypt caducan cada 90 días y un autorrenovado fallido provoca una caída del servicio. Los certificados comerciales suelen durar 1 año. Guarda esta herramienta y revisa cada mes cualquier certificado al que le queden menos de 30 días.
Auditoría de seguridad
Detecta servidores que todavía usan TLS 1.0 o 1.1, suites criptográficas débiles o certificados autofirmados. Contrasta la huella SHA-256 con el valor esperado tras una rotación del certificado para confirmar que no se ha producido una sustitución MITM.
Después de migrar un dominio
Tras mover un dominio a un nuevo hosting o CDN, verifica que el nuevo certificado cubra el dominio, que la entidad emisora sea la correcta y que la lista SAN coincida con la esperada. Si el certificado sigue en el servidor anterior y no se aprovisiona en el nuevo, el navegador mostrará errores aunque el DNS ya apunte bien.
Preguntas frecuentes
Herramientas relacionadas
Comprobador de Puertos
Comprueba si el puerto 443 está abierto y acepta conexiones antes de validar el certificado.
Consulta DNS
Verifica que los registros DNS A apuntan al servidor correcto después de desplegar un certificado o migrar un dominio.
Info de puertos
Consulta los puertos estándar y entiende qué servicios suelen ejecutarse en cada uno.