TLS y confianza del certificado
Errores SSL explicados
Entiende los problemas SSL y TLS que suelen aparecer en los diagnósticos, incluidos certificados caducados, falta de coincidencia del host, cadenas autofirmadas, problemas de protocolo y lo que cada fallo significa para los usuarios reales.
Los errores SSL ocupan un terreno incómodo. El host puede ser accesible, el puerto puede estar abierto y el sitio incluso puede devolver contenido a algunos clientes, pero aun así los navegadores y rastreadores pueden bloquear la página porque la confianza falló antes de que se estableciera una sesión HTTPS normal. Por eso los problemas de certificado necesitan una interpretación propia y no conviene meterlos simplemente dentro de “el sitio está caído”.
Accesible no es lo mismo que fiable
Un servidor puede responder en el puerto 443 y aun así fallar para los usuarios porque el certificado está caducado, no coincide o no inspira confianza.
El nombre del host importa tanto como la fecha
Un certificado vigente sigue siendo incorrecto si no cubre el nombre de host que la gente solicitó realmente.
Los problemas TLS ocurren antes del renderizado normal
Por eso los fallos SSL suelen parecer una caída total aunque la aplicación detrás del servidor siga funcionando.
01
Cuándo importa interpretar SSL
Usa esta página cuando la confianza HTTPS sea el bloqueo real y no solo una nota secundaria dentro de un informe más amplio.
El navegador muestra una advertencia del certificado
Los usuarios pueden ver una pantalla de seguridad alarmante en lugar de una página simplemente caída. El sitio puede seguir vivo mientras la confianza está rota.
El Comprobador web apunta a un fallo TLS
Una vista dedicada de SSL ayuda a separar problemas del ciclo de vida del certificado de la conectividad del puerto o de errores de la aplicación.
Acaba de ocurrir una migración o un cambio de CDN
La cobertura del host, la presentación de la cadena y los certificados específicos de borde suelen romperse durante movimientos DNS y cambios de plataforma.
02
Familias comunes de errores SSL
Estas categorías explican la mayoría de los fallos de confianza HTTPS que aparecen en el diagnóstico.
| Familia del error | Qué suele significar | Qué suelen ver los usuarios |
|---|---|---|
| Certificado caducado | La ventana de validez del certificado terminó y no se renovó a tiempo. | Los navegadores bloquean el acceso o muestran una advertencia fuerte de seguridad. |
| Falta de coincidencia del host | El host solicitado no está cubierto por la lista SAN ni por el nombre común. | HTTPS funciona solo en algunos hosts, o los usuarios ven una advertencia por nombre incorrecto del certificado. |
| Cadena autofirmada o emitida en privado | El servidor presentó un certificado en el que los clientes públicos no confían por defecto. | Los sistemas internos pueden funcionar, pero los navegadores públicos y los bots rechazan la página. |
| Cadena incompleta | El servidor no presentó suficientes intermedios para que los clientes construyan la confianza correctamente. | Algunos dispositivos funcionan y otros fallan según los intermedios que tengan en caché. |
| Negociación de protocolo heredada o rota | El punto final solo admite comportamiento TLS antiguo o falla durante la negociación TLS. | Las conexiones fallan antes de que la página pueda cargar, sobre todo en clientes más estrictos. |
03
Cómo separar un problema SSL de una caída pura
Esta distinción importa porque el responsable de la solución y la urgencia pueden cambiar por completo.
El puerto 443 puede estar abierto y HTTPS seguir roto
Que un servicio escuche solo demuestra que algo aceptó la conexión. No demuestra que la cadena del certificado o la confianza del host sean correctas.
Un certificado válido no demuestra que la aplicación esté sana
La página puede seguir devolviendo 500 o 503 después de que TLS funcione. SSL es solo una etapa de la ruta.
Diferentes hosts pueden comportarse distinto
El dominio raíz, el host www y un subdominio regional pueden presentar coberturas de certificado y comportamientos de borde distintos.
04
Mejores comprobaciones de seguimiento para problemas SSL
Usa la herramienta adicional que responde a la siguiente duda en lugar de quedarte con una advertencia genérica del navegador.
Es la mejor opción para analizar sujeto, emisor, nombres SAN, vencimiento y compatibilidad visible de protocolo en el host exacto que te importa.
Comprobador SSLDiagnóstico de URLAbre el Comprobador web para ver si la página llega a devolver HTTPÚtil cuando necesitas la cadena de redirecciones, la URL final y el contexto de tiempos alrededor de la advertencia TLS.
Comprobador webConectividad TCPAbre el Comprobador de puertos cuando no estés seguro de que el servicio HTTPS escuchaAyuda a separar un servicio sin respuesta de un problema de confianza en un punto final que por lo demás sí es accesible.
Comprobador de puertosRespuestas DNS analizadasAbre Consulta DNS después de cambios de host o de bordeResulta útil cuando un movimiento DNS pudo haber enviado tráfico al proveedor incorrecto o a un host que presenta un certificado equivocado.
Consulta DNS05
Ideas equivocadas habituales sobre SSL
Estas suposiciones hacen que los incidentes de certificado sean más difíciles de diagnosticar de lo necesario.
- Asumir que el sitio está totalmente caído solo porque el navegador muestra una advertencia del certificado.
- Mirar solo la fecha de caducidad e ignorar la cobertura del host en la lista SAN.
- Probar una IP de origen directa y esperar que el resultado represente correctamente al host público.
- Tomar un éxito en un cliente como prueba de que la cadena está sana para todos los navegadores y dispositivos.