Comprobar el certificado SSL de una web

El certificado SSL (hoy se llama TLS, pero el nombre antiguo se ha quedado) es lo que permite que tu web se abra con https:// y el candado. Cifra lo que viaja entre el navegador y tu servidor y confirma que la web es quien dice ser. Cuando falla, el navegador no muestra un aviso discreto: muestra una pantalla de peligro y la mayoría de la gente se marcha.

Los resultados que puedes ver, uno a uno

«La web no usa conexión segura (HTTPS)»

Tu página de inicio se sirve sin cifrar. Lo que alguien escriba en un formulario viaja legible y los navegadores marcan la web como «no segura». Además, el artículo 32 del RGPD pide medidas técnicas adecuadas para proteger los datos, y el cifrado es la más básica. Qué hacer: pide a tu alojamiento que instale un certificado. La mayoría lo ofrece gratis con Let's Encrypt y se activa desde el panel.

«La versión http:// no redirige a https://»

Tienes certificado, pero si alguien escribe tu dirección sin https o llega desde un enlace antiguo, navega sin cifrar. Qué hacer: activa en el panel del alojamiento la opción de forzar HTTPS, o añade una redirección permanente (301) de todo el tráfico http a https. Luego prueba las cuatro combinaciones: con y sin www, con http y con https. Las cuatro deben acabar en la misma dirección segura.

«El certificado de seguridad caduca en X días»

Leemos la fecha de caducidad del certificado. Si quedan menos de 30 días, te avisamos; si quedan menos de 10, el aviso es de prioridad alta. Cuando caduca, el navegador bloquea la entrada con un aviso de peligro. Qué hacer: renuévalo ya y, sobre todo, comprueba que la renovación sea automática.

«No hemos podido conectar de forma segura»

Si el certificado está caducado, no corresponde a tu dominio o le falta parte de la cadena, nuestra conexión falla igual que fallaría la de un navegador. En ese caso no podemos completar el diagnóstico y te lo decimos claramente, porque es lo primero que hay que arreglar. Tienes los pasos en la guía sobre qué hacer con un certificado SSL caducado.

«Recursos que se cargan sin cifrar en una página segura»

Es el llamado contenido mixto: la página va por HTTPS, pero alguna imagen, script o estilo se pide por http://. Según la especificación de contenido mixto del W3C, los navegadores bloquean los scripts y recursos activos en esa situación e intentan pasar a https las imágenes, vídeos y audios, bloqueándolos si no pueden. El resultado puede ser una web con huecos o funciones que dejan de ir. Qué hacer: cambia esas direcciones a https://. En WordPress suele pasar tras migrar a HTTPS sin actualizar las direcciones guardadas en la base de datos.

Otros avisos relacionados

• Falta HSTS. Aparece dentro del aviso de cabeceras de seguridad. HSTS le dice al navegador que use siempre HTTPS con tu web, incluso si alguien escribe http. Actívala cuando la redirección ya funcione bien.
• Certificado que depende de eMudhra. En octubre de 2026 se comprometieron las claves de varios certificados intermedios de esta autoridad, y los navegadores dejaron de confiar en ellos. Si tu certificado pasa por esa cadena, hay que sustituirlo por el de otra autoridad. Lo detallamos en la revisión de seguridad web.
• Demasiadas redirecciones. Si para llegar a tu web pasas por varios saltos (de http a https, de sin www a con www…), lo señalamos en calidad web. Lo ideal es un salto como mucho.

Los certificados duran cada vez menos

Este es el cambio que más va a afectar a las pymes en los próximos años. El CA/Browser Forum aprobó en abril de 2025 la votación SC-081, que reduce por etapas la duración máxima de los certificados públicos:

• Desde el 15 de marzo de 2026: 200 días como máximo.
• Desde el 15 de marzo de 2027: 100 días.
• Desde el 15 de marzo de 2029: 47 días.

Con certificados tan cortos, renovar a mano deja de ser viable: alguien se olvidará. Si tu certificado se renueva solo (lo habitual con Let's Encrypt en la mayoría de alojamientos), no tienes que hacer nada más que vigilar que la renovación no falle. Si lo compras y lo instalas a mano cada año, habla ya con tu proveedor. Puedes seguir este y otros cambios en el observatorio normativo.

Cómo dejarlo bien atado

1. Pregunta quién gestiona el certificado: tu alojamiento, tu agencia o una tercera empresa. Apúntalo.
2. Confirma que la renovación es automática y para qué direcciones: con y sin www, y subdominios como la tienda o el área de clientes.
3. Decide quién recibe el aviso si falla. Ojo: Let's Encrypt anunció que dejaba de enviar correos de caducidad a partir del 4 de junio de 2025, así que no cuentes con ese aviso.
4. Fuerza HTTPS y activa HSTS cuando todo funcione.
5. Pasa el diagnóstico de vez en cuando: si quedan menos de 30 días y no se ha renovado, te lo dirá.

Lo que un análisis automático no ve

Comprobamos el certificado del dominio que escribes y la página de inicio, desde fuera y desde un único punto. No revisamos otros subdominios, como el del correo o una tienda en otra dirección, ni sabemos cómo está configurada la renovación en tu servidor: solo vemos la fecha. Tampoco comprobamos cada página interna en busca de contenido mixto. Si quieres una revisión completa de la seguridad, con acceso y con tu proveedor, consulta la revisión de seguridad web o pasa el resto de comprobaciones con la herramienta para comprobar la seguridad de tu web.