Cómo verificar si tu SSL está bien configurado (Guía 2026)

El certificado SSL/TLS es la base de cualquier web moderna. Sin él, los navegadores muestran "No seguro", Google penaliza tu SEO, y los datos de tus usuarios viajan sin cifrar. Pero no basta con tener un SSL: hay que tenerlo bien configurado.

En esta guía te enseño 5 métodos prácticos para verificar el estado de tu certificado SSL, y los 7 errores más comunes que hacen que un SSL parezca válido pero no lo sea del todo.

1. ¿Qué hay que verificar en un SSL?

Un certificado SSL correcto cumple 6 condiciones:

1. Válido: no ha expirado ni sido revocado.
2. Confiable: emitido por una CA (Certificate Authority) reconocida.
3. Coincide con tu dominio: está emitido para tuweb.com, no para otro dominio.
4. Cadena completa: el servidor envía el certificado + los intermedios necesarios.
5. Protocolo moderno: TLS 1.2 o 1.3 (no SSL 3.0, TLS 1.0/1.1).
6. HTTPS forzado: HTTP redirige a HTTPS + HSTS activo.

2. Método 1 — El candado del navegador

Verás uno de estos iconos:

• 🔒 Candado cerrado → SSL válido.
• ⚠️ Triángulo con signo de exclamación → SSL con problemas (cadena incompleta, versión obsoleta).
• 🚫 "No seguro" o "Conexión no privada" → SSL inválido, caducado o autofirmado.

Pulsa en el candado para ver más detalles: emisor, dominio, fecha de expiración y cookies.

3. Método 2 — Detalles del certificado (F12)

Verás:

• "Connection secure" → SSL válido.
• Protocolo: TLS 1.3, TLS 1.2 (bueno), TLS 1.0/1.1 (malo).
• Certificate: pulsa "View certificate" para ver emisor, caducidad y SAN (dominios cubiertos).
• Key exchange: ECDHE, RSA (el primero es más seguro).

Si el navegador dice TLS 1.3 y el certificado no caduca en menos de 30 días, vas bien.

4. Método 3 — Herramienta online: SSL Labs

Introduce tu dominio y espera 2-3 minutos. Te dará una nota de A+ a F:

El objetivo es A o A+. Si tienes menos, sigue las recomendaciones que SSL Labs te da al final del informe.

5. Método 4 — Terminal con OpenSSL

echo | openssl s_client -servername tuweb.com -connect tuweb.com:443 2>/dev/null | openssl x509 -noout -dates -issuer -subject

Devolverá:

notBefore=Jan  1 00:00:00 2026 GMT
notAfter=Jan  1 00:00:00 2027 GMT
issuer=C = US, O = Let's Encrypt, CN = R3
subject=CN = tuweb.com

Verifica:

• notAfter no debe estar en el pasado (ni muy cerca).
• issuer debe ser una CA reconocida (Let's Encrypt, DigiCert, GlobalSign, Sectigo, etc.).
• subject debe coincidir con tu dominio.

También puedes verificar la cadena completa:

echo | openssl s_client -servername tuweb.com -connect tuweb.com:443 -showcerts

Si la cadena está incompleta, verás mensajes como unable to get local issuer certificate.

6. Método 5 — Auditoría con Sealgrade

Ve a sealgrade.com/auditoria.html, introduce tu dominio y obtendrás:

• Estado del certificado (válido/inválido).
• Días restantes antes de la caducidad.
• Emisor del certificado.
• Si tienes redirección HTTPS forzada.
• Un Health Score global con todos los checks.

7. Los 7 errores más comunes

Error 1 · Certificado caducado

El más habitual. Los certificados SSL gratuitos (Let's Encrypt) duran 90 días. Si no tienes renovación automática, es fácil olvidarse.

Solución: configura renovación automática con certbot, Caddy, Traefik o tu panel de hosting.

Error 2 · Cadena de certificados incompleta

El navegador funciona, pero algunas herramientas y dispositivos antiguos (Android antiguos, Java, APIs) fallan. Ocurre cuando el servidor no envía el certificado intermedio.

Solución: en Nginx/Apache, asegúrate de incluir el fichero chain.pem además del cert.pem.

Error 3 · SSL solo en la home, no en subdominios o rutas internas

Audita tuweb.com, www.tuweb.com, app.tuweb.com... Todos deben tener su propio certificado.

Solución: usa certificados wildcard (*.tuweb.com) o multi-SAN.

Error 4 · Sin redirección HTTPS

Tu web funciona con HTTPS, pero también con HTTP. Un atacante puede interceptar la primera petición HTTP y hacer SSL stripping.

Solución: fuerza redirección 301 de HTTP a HTTPS en el servidor web o CDN.

Error 5 · Sin HSTS

La redirección 301 funciona, pero la primera petición sigue siendo HTTP. HSTS le dice al navegador que ni siquiera intente conectarse por HTTP.

Solución: añade la cabecera Strict-Transport-Security: max-age=31536000; includeSubDomains.

Error 6 · Protocolos obsoletos activos

TLS 1.0 y TLS 1.1 están deprecados desde 2021. Si tu servidor aún los acepta, SSL Labs te penalizará.

Solución: en Nginx, ssl_protocols TLSv1.2 TLSv1.3;. En Apache, SSLProtocol -all +TLSv1.2 +TLSv1.3.

Error 7 · Mixed content (contenido mixto)

Tu web carga con HTTPS, pero algunos recursos (imágenes, scripts, CSS) se cargan por HTTP. El navegador lo marca como "no seguro".

Solución: audita todos los recursos y cambia las URLs a HTTPS. Busca http:// en tu código fuente.

8. Cómo renovar y automatizar tu SSL

Lo mejor para no volver a preocuparte: automatizar la renovación.

Let's Encrypt + Certbot (recomendado)

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d tuweb.com -d www.tuweb.com
sudo systemctl enable certbot.timer

Certbot renueva automáticamente cada 60 días. Cero intervención manual.

Cloudflare (si usas Cloudflare como CDN)

Cloudflare gestiona el certificado por ti. Si activas "Full (strict)" y el certificado de origen, tienes SSL con renovación automática sin coste.

Caddy (servidor web moderno)

Caddy obtiene y renueva certificados automáticamente sin configuración. Con 3 líneas de Caddyfile tienes SSL gestionado.

Otros

• Traefik: reverse proxy con SSL automático.
• Cert-manager en Kubernetes.
• Win-acme en Windows Server.

9. Conclusión

Verificar tu SSL es rápido y evita sustos. El resumen en 6 líneas:

1. Navegador: si no hay candado, algo va mal.
2. SSL Labs: busca A o A+.
3. OpenSSL: verifica fechas, emisor y cadena.
4. Sealgrade: auditoría completa en 30 segundos.
5. Automatiza la renovación para no olvidarte.
6. Añade HSTS para cerrar el círculo.

Un SSL bien configurado es la base de todo. Sin él, no hay seguridad web posible.