Certificado SSL caducado o no válido: causas y cómo solucionarlo

Si tu certificado SSL ha caducado, el navegador muestra a quien visita tu web un aviso de que la conexión no es segura y le desaconseja entrar. La solución es renovarlo (o pedir a tu proveedor que lo haga) y, sobre todo, automatizar la renovación: desde el 15 de marzo de 2026 los certificados duran como máximo 200 días, y ese plazo irá bajando hasta 47 días en 2029. Si el certificado no ha caducado pero aparece como «no válido», la causa suele ser que no cubre el nombre exacto del dominio, que falta parte de la cadena o que algún recurso se carga sin cifrar.

Para qué sirve el certificado SSL

El certificado SSL (hoy, técnicamente, TLS) permite que la web funcione con https://. Hace dos cosas:

• Cifra la conexión entre el navegador y el servidor, para que nadie pueda leer o modificar por el camino lo que se envía: formularios, contraseñas, datos de pago.
• Acredita que el dominio es quien dice ser. Una autoridad de certificación comprueba que quien pide el certificado controla el dominio y lo firma. El navegador confía en esa firma.

Sin certificado, o con uno que no es válido, los navegadores marcan la web como «no segura». WordPress, por ejemplo, incluye la conexión HTTPS entre sus requisitos recomendados. Y si la web recoge datos personales, cifrar la conexión forma parte de las medidas de seguridad que se esperan.

Por qué los certificados caducan cada vez antes

Las normas que siguen las autoridades de certificación las fija el CA/Browser Forum, que reúne a autoridades y navegadores. En 2025 aprobó la votación SC-081, que reduce por etapas la duración máxima de los certificados públicos. Según sus requisitos básicos:

• Hasta el 14/03/2026: hasta 398 días.
• Desde el 15/03/2026: 200 días como máximo (lo vigente hoy).
• Desde el 15/03/2027: 100 días.
• Desde el 15/03/2029: 47 días.

Let's Encrypt, la autoridad gratuita más extendida, ya emite certificados de 90 días y ha publicado su propio calendario de reducción: 64 días por defecto desde el 10/02/2027 y 45 días desde el 16/02/2028.

La consecuencia práctica es clara: renovar a mano una vez al año ya no es viable. Lo seguimos en el observatorio normativo junto con otros cambios que afectan a las webs.

Causas de «certificado no válido»

El aviso del navegador no siempre significa que el certificado haya caducado. Estas son las causas más habituales:

1. Ha caducado. La renovación automática falló o nunca estuvo activada. Es la causa más frecuente.
2. El nombre no coincide. El certificado cubre tudominio.es pero no www.tudominio.es (o al revés), o se emitió para otro dominio del mismo servidor. Pasa mucho tras un cambio de alojamiento o al añadir un subdominio.
3. La cadena está incompleta. El servidor envía el certificado de tu dominio pero no el certificado intermedio que lo une con la autoridad. Algunos navegadores lo resuelven solos y otros no, así que puede fallar solo en ciertos dispositivos.
4. La autoridad ya no es de confianza. Si los navegadores retiran la confianza a una autoridad, sus certificados dejan de valer. En octubre de 2026, por ejemplo, Chrome y Firefox empezaron a rechazar las cadenas que pasan por certificados intermedios comprometidos de eMudhra; lo contamos en la revisión de seguridad web.
5. Contenido mixto. La página va por https:// pero carga imágenes, scripts o estilos por http://. El navegador puede bloquearlos o quitar el candado. La documentación de MDN sobre contenido mixto lo explica en detalle.
6. La hora del equipo está mal. Si el reloj del ordenador o del móvil de quien visita la web tiene una fecha incorrecta, un certificado válido puede parecer caducado o aún no vigente. En este caso el problema no está en tu web.

Cómo solucionarlo paso a paso

1. Mira qué dice exactamente el navegador. Pulsa en el aviso o en el icono junto a la dirección y abre los detalles del certificado: fecha de caducidad, para qué nombres se emitió y quién lo firma. Esa información te dice cuál de las causas anteriores es.
2. Prueba desde otro equipo y otra red. Si en otros dispositivos funciona, revisa la hora del equipo que falla.
3. Renueva o vuelve a emitir el certificado. En la mayoría de los alojamientos se hace desde el panel (en Plesk y cPanel suele haber un apartado de certificados SSL/TLS con Let's Encrypt integrado). Asegúrate de incluir todos los nombres que uses: con y sin www y los subdominios.
4. Activa la renovación automática y comprueba quién recibe los avisos si falla.
5. Corrige el contenido mixto. Cambia a https:// los enlaces a imágenes, scripts y estilos. En WordPress, suelen estar en el contenido antiguo, en el tema o en ajustes de algún plugin.
6. Redirige siempre a HTTPS. Escribe tu dirección con http:// y comprueba que acaba en https://, con y sin www.
7. Vuelve a comprobar en una ventana privada y desde el móvil.

Certificado SSL gratis con Let's Encrypt

Let's Encrypt es una autoridad de certificación que no cobra por sus certificados, aunque algunos proveedores pueden cobrar por gestionarlos. Su guía para empezar a usarlo distingue dos casos:

• Si gestionas la web desde un panel (Plesk, cPanel o el de tu proveedor), lo habitual es que no tengas acceso por consola. Let's Encrypt aconseja en ese caso que tu proveedor lo tenga integrado, porque entonces el certificado se pide, se instala y se renueva solo.
• Si administras el servidor, Let's Encrypt recomienda usar un cliente ACME, como Certbot, que automatiza la emisión, la instalación y la renovación.

Let's Encrypt desaconseja emitir los certificados a mano y subirlos al servidor: obliga a repetir el proceso en cada renovación, y con duraciones cada vez más cortas es fácil que se olvide.

¿Y un certificado de pago?

Para cifrar la conexión y que el navegador muestre la web como segura, un certificado gratuito y uno de pago funcionan igual. Los de pago pueden incluir validación de la organización, soporte o garantías comerciales. Ninguno evita el problema de fondo: también caducan, y con los mismos plazos máximos.

Cómo evitar que vuelva a caducar

Con certificados que durarán cada vez menos, lo importante no es renovarlo hoy, sino que nadie tenga que acordarse. Una pauta sencilla para cualquier pyme:

1. Haz una lista de dominios y subdominios con certificado: web, tienda, área privada, entorno de pruebas, correo web.
2. Apunta quién los renueva en cada caso: el panel del alojamiento, un cliente ACME en el servidor o una persona concreta.
3. Pon como contacto de avisos un correo compartido del equipo, no el de una sola persona.
4. Revisa la fecha de caducidad una vez al mes o con cada cambio de servidor, de DNS o de proveedor.
5. Ten preparado el plan B: a quién llamar y cómo emitir un certificado nuevo si la renovación falla un viernes por la tarde.

Errores frecuentes

• Pensar que «se renueva solo» sin comprobarlo. La renovación automática puede fallar tras un cambio de DNS, de servidor o de configuración.
• Que los avisos lleguen a un correo que nadie lee, como el de una persona que ya no trabaja en la empresa.
• Olvidar subdominios como la tienda, el área privada o el entorno de pruebas.
• Instalar el certificado sin la cadena intermedia en servidores configurados a mano.
• Tener el candado en la portada y contenido mixto en páginas interiores o en el formulario de contacto.

Cómo comprobarlo

Con la herramienta para comprobar el certificado SSL puedes ver cuántos días le quedan, quién lo emite y si la conexión es correcta. El diagnóstico gratuito de XEVIA revisa además la página de inicio desde fuera y sin intrusión: avisa si el certificado caduca en menos de 30 días, si la versión http:// no redirige a https://, si hay recursos sin cifrar en la portada y si el certificado depende de una cadena comprometida. Es un resultado orientativo: solo revisa la portada, no las páginas interiores ni otros subdominios.

Si quieres que revisemos la renovación, la configuración del servidor y el resto de la seguridad de tu web, consulta la revisión de seguridad web de XEVIA.

Preguntas frecuentes

¿Qué pasa si se caduca el certificado SSL?

El navegador muestra un aviso a pantalla completa y desaconseja entrar. Muchas visitas se marchan, los formularios dejan de recibir mensajes y otros servicios que se conectan a tu web pueden fallar. La web sigue en línea, pero en la práctica queda bloqueada para buena parte del público.

¿Cada cuánto hay que renovar el certificado SSL?

Hoy, como máximo cada 200 días; desde el 15/03/2027, cada 100 días, y desde el 15/03/2029, cada 47. Los de Let's Encrypt duran 90 días y la propia autoridad recomienda renovarlos antes, de forma automática.

¿Por qué mi web da error de certificado solo en algunos móviles?

Suele deberse a una cadena incompleta, que algunos dispositivos no resuelven, o a la fecha incorrecta en ese teléfono. Revisa la instalación del certificado intermedio.

¿El certificado SSL protege mi web de ataques?

Protege la conexión, no la web. Una web con certificado válido puede tener fallos por versiones sin actualizar o plugins vulnerables. Lo repasamos en las vulnerabilidades web más comunes.