Comprobación de certificado SSL

El certificado TLS de un sitio demuestra su identidad y cifra el tráfico entre el navegador y el servidor. Un certificado caducado, autofirmado o que no coincide rompe la confianza y dispara avisos del navegador que ahuyentan a los visitantes. IPeek se conecta directamente al host, lee el certificado en vivo e informa de su emisor, ventana de validez, días restantes, los nombres que cubre y cualquier problema que encuentre.

Durante el handshake TLS, el servidor presenta un certificado firmado por una autoridad de certificación de confianza. El navegador comprueba que el nombre del certificado coincide con el hostname, que la cadena de firma lleva a una raíz en la que confía y que la fecha actual cae dentro de la ventana de validez. Si las tres pasan, la conexión se cifra y aparece el candado. «SSL» es el nombre común que la gente sigue usando, pero el protocolo real lleva años siendo TLS. IPeek realiza este mismo handshake y luego informa de lo que devolvió el servidor en lugar de limitarse a mostrar un candado.

Empieza por los días restantes: menos de 30 significa renovar pronto, y un valor negativo significa que el certificado ya ha caducado y los visitantes ven avisos ahora mismo. Revisa el emisor para confirmar que es una CA real, no un sustituto autofirmado. La lista de Subject Alternative Name (SAN) muestra todos los hostnames que cubre el certificado, así que un certificado para example.com que omita www.example.com fallará en esa variante. Por último, confirma que la cadena está completa; un certificado intermedio ausente valida en algunos clientes pero se rompe en otros.

El fallo más frecuente es la simple caducidad, que se arregla renovando y recargando el servidor web. Una falta de coincidencia de nombre significa que el hostname no está en la lista SAN, así que reemite con los nombres correctos o añade un comodín. Los errores de «autofirmado» o «emisor no confiable» significan que la cadena del certificado no llega a una raíz de confianza, normalmente porque el certificado intermedio no se instaló junto al de hoja. Tras cualquier arreglo, vuelve a comprobar con IPeek para confirmar que el certificado servido en la conexión coincide con lo que pretendías, ya que los certificados obsoletos suelen quedarse en balanceadores de carga y CDN.

Haz una comprobación antes del lanzamiento y siempre que migres el hosting, cambies de CDN o rotes certificados, ya que son los momentos en que aparecen las faltas de coincidencia y las cadenas incompletas. Programa un recordatorio antes de la fecha de caducidad, sobre todo para certificados que no están en renovación automática. También es la forma más rápida de diagnosticar a un visitante que reporta un aviso de seguridad del navegador: la comprobación te dice de inmediato si el problema es la caducidad, una falta de coincidencia de nombre o una cadena rota, para que actúes en lugar de adivinar.