Errores de certificado SSL: qué significan y cómo solucionarlos

Última comprobación: 20 oct 2026

Cuando el navegador dice «La conexión no es privada», el certificado del servidor no ha superado alguna de unas pocas comprobaciones. El código de error indica cuál. Sabiendo dónde mirar, la mayoría se arreglan en minutos.

En resumen

La mayoría de errores tienen una de cuatro causas: certificado caducado, certificado que no cubre el nombre abierto, certificado intermedio ausente o un emisor en el que el navegador no confía.
Los certificados gratuitos como los de Let's Encrypt duran poco: la renovación automática es obligatoria.
Desde el 15 de marzo de 2026 los certificados de confianza pública duran como máximo 200 días; en 2027 bajará a 100 y en 2029 a 47 días.
Revisa el certificado con la comprobación SSL y deja que Vigilancia te avise antes de que caduque.

Códigos de error

Error (Chrome)	Significado	Solución
`NET::ERR_CERT_DATE_INVALID`	El certificado ha caducado o aún no es válido	Renuévalo y recarga el servidor web; si parece válido, revisa la hora del dispositivo.
`NET::ERR_CERT_COMMON_NAME_INVALID`	El certificado no cubre el nombre abierto	Obtén un certificado con todos los nombres que uses: example.com, www.example.com y tus subdominios (o un comodín).
`NET::ERR_CERT_AUTHORITY_INVALID`	Emisor no fiable: autofirmado, CA interna o intermedio ausente	Usa una CA de confianza pública e instala la cadena completa.
`ERR_SSL_VERSION_OR_CIPHER_MISMATCH`	El servidor solo ofrece protocolos o cifrados obsoletos	Activa TLS 1.2 y TLS 1.3.
`NET::ERR_CERT_REVOKED`	La CA ha revocado el certificado	Consigue un certificado nuevo, y una clave nueva si la anterior se vio comprometida.
`ERR_TOO_MANY_REDIRECTS`	Bucle de redirecciones entre HTTP y HTTPS, a menudo con una CDN en modo «flexible»	Usa el modo full/strict en la CDN y deja una sola redirección en el servidor.

Certificado caducado

Firefox muestra el mismo problema como SEC_ERROR_EXPIRED_CERTIFICATE. Los certificados de Let's Encrypt valen 90 días y los renueva automáticamente un cliente ACME como certbot o el panel del hosting. La renovación suele fallar sin avisar: se cerró el puerto 80, el DNS apunta a otro servidor o no se recargó el servidor web tras recibir el nuevo certificado.

Las reglas del CA/Browser Forum acortan la vida de los certificados: como máximo 398 días hasta el 15 de marzo de 2026, 200 días a partir de entonces, 100 días desde el 15 de marzo de 2027 y 47 días desde el 15 de marzo de 2029. Renovar a mano ya no es práctico: automatízalo con ACME.

Falta el certificado intermedio

El servidor debe enviar su propio certificado junto con el o los certificados intermedios. Los navegadores de escritorio suelen completar el hueco desde su caché, así que la web «funciona en mi ordenador» pero falla en móviles, apps, curl o clientes de API. Instala la cadena completa: fullchain.pem en Let's Encrypt, el campo «CA bundle» en los paneles de hosting. La comprobación SSL muestra si la cadena está completa.

El nombre no coincide

Los nombres que cubre un certificado aparecen en su campo SAN (Subject Alternative Name); Firefox muestra este error como SSL_ERROR_BAD_CERT_DOMAIN. Un comodín como *.example.com cubre un solo nivel (tienda.example.com), no example.com en sí ni a.b.example.com. Si la web también se abre con www, el certificado debe incluir ambos nombres.

Otras causas

Contenido mixto: una página HTTPS carga scripts, imágenes o estilos por http://; desaparece el candado o se bloquea el contenido. Cambia esas direcciones a https://.
HSTS: cuando una web ha enviado HSTS, los navegadores no dejan saltarse los errores de certificado hasta que vence max-age. La solución es arreglar el certificado, no desactivar HTTPS.
CAA: si tu dominio tiene registros CAA, solo las CA que aparecen en ellos pueden emitir certificados; si falta la tuya, la renovación falla.
Una hora incorrecta en el dispositivo hace que los certificados parezcan caducados o aún no válidos.
Los antivirus y proxies corporativos que inspeccionan HTTPS presentan su propio certificado; entonces el error solo aparece en esa red o dispositivo.

Comprueba y recibe avisos

La comprobación SSL muestra las fechas de validez, los nombres cubiertos, la cadena, las versiones de TLS, HSTS, la redirección de HTTP a HTTPS y los registros CAA.
Añade el dominio a Vigilancia: recibirás un correo o un mensaje de Telegram antes de que caduque el certificado y cuando deje de ser válido.

Fuentes

Esta guía resume información pública y no es asesoramiento jurídico.