Certificado SSL caducado: qué ocurre y cómo solucionarlo rápido

Un certificado SSL caducado significa que el certificado que demuestra la identidad de tu sitio web ha superado su fecha de caducidad, y los navegadores dejan de confiar en él en el acto. Los visitantes ven una advertencia a pantalla completa, como NET::ERR_CERT_DATE_INVALID, en lugar de tu contenido; los clientes de API y las apps móviles fallan por completo, y el tráfico se desploma hasta que se sustituye el certificado. La solución es renovarlo o reemitirlo, instalar la nueva cadena completa en cada servidor que termina TLS y recargar esos servicios; con una configuración ACME automatizada, cuesta unos minutos. En esta guía verás cómo comprobar la fecha de caducidad, arreglar un certificado caducado paso a paso y asegurarte de que no vuelva a pasar.

Qué ven los visitantes cuando tu certificado SSL caduca

Los navegadores no mencionan el problema con discreción en una esquina. Sustituyen toda tu página por una pantalla de advertencia, y el visitante tiene que rebuscar en un menú de "Configuración avanzada" para poder continuar. El texto varía según el navegador:

Estas advertencias son tan habituales que pueden medirse a gran escala. En el mayor estudio publicado sobre advertencias de certificados, investigadores de Google y Carnegie Mellon analizaron más de 300 millones de informes de advertencias de Chrome y atribuyeron el 4,23 % de las advertencias en Windows a errores de fecha del certificado (Acer et al., ACM CCS 2017). Los certificados caducados son el fallo rutinario de HTTPS, y la propia página de advertencia suele ser la primera señal que recibe el propietario.

Se rompe mucho más que tu portada

La advertencia del navegador es solo la parte visible. Los fallos silenciosos suelen costar más:

• Las APIs y los webhooks fallan en seco. Los clientes máquina no tienen botón de "Configuración avanzada". Los avisos de pago, las apps móviles, las integraciones con socios y los agentes de monitorización rechazan la conexión en el mismo segundo en que caduca el certificado.
• HSTS elimina la salida de emergencia. Si tu sitio envía la cabecera HSTS, el navegador oculta por completo el enlace de "continuar de todos modos". Los visitantes no pueden saltarse la advertencia aunque quieran.
• El correo y las herramientas internas se paran. El TLS de SMTP, IMAP y los paneles de administración falla con la misma dureza, y justo esos certificados son los que nadie vigila.
• La confianza se erosiona a toda velocidad. Una empresa con el certificado caducado en su propia web es una contradicción que los visitantes recuerdan. Los buscadores ven el mismo estado de advertencia, y las páginas orientadas a conversión pierden su tráfico mientras la advertencia siga ahí.

Tres caídas famosas causadas por un solo certificado caducado

La caducidad de certificados no es un problema de empresas pequeñas. Algunas de las caídas más caras de la última década se debieron exactamente a esto:

La lección es incómoda: estas empresas tienen ingenieros de primer nivel mundial, y aun así el certificado caducó. La renovación es un problema de proceso, no de talento, y un recordatorio de calendario en la bandeja de alguien no es un proceso.

Cómo comprobar cuándo caduca tu certificado

Tres formas, de la más rápida a la más completa:

1. En el navegador. Haz clic en el candado o el icono de ajustes de la barra de direcciones, abre "La conexión es segura" y después "El certificado es válido". El panel de detalles muestra el periodo de validez exacto.

2. Desde la línea de comandos. Consulta el certificado activo con OpenSSL:

openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates

La salida imprime notBefore y notAfter; la segunda línea es tu fecha límite.

3. Comprueba toda la cadena, no solo tu certificado. Los certificados intermedios y raíz también caducan. Cuando la raíz AddTrust External CA Root caducó el 30 de mayo de 2020, servicios con certificados de servidor perfectamente válidos fallaron en todo el mundo, incluidos dispositivos Roku y varias plataformas de pago. Un escáner externo que valide la cadena completa detecta lo que un vistazo a tu propio certificado pasa por alto.

Cómo arreglar un certificado SSL caducado, paso a paso

Paso 1: confirma que la caducidad es realmente la causa. Ejecuta el comando de OpenSSL anterior y lee notAfter. Si el certificado es válido en realidad, el reloj del dispositivo del visitante está mal, y no hay nada que arreglar en tu servidor.

Paso 2: renueva o reemite. Con Let's Encrypt o cualquier otro cliente ACME, la renovación es un solo comando (sudo certbot renew), y un ensayo (sudo certbot renew --dry-run) te dice por adelantado si la validación va a funcionar. Con una CA comercial, genera un CSR nuevo en tu panel de control y completa allí la validación.

Paso 3: instala la cadena completa en todos los puntos donde termina TLS. El certificado nuevo tiene que llegar a cada extremo que hable TLS para el dominio: servidores de origen, balanceadores de carga y el borde del CDN. Despliega fullchain.pem (certificado de servidor más intermedios), no el certificado solo, o cambiarás un error de fecha por un error de cadena.

Paso 4: recarga el servicio. Un archivo renovado en disco no cambia nada hasta que el servidor lo vuelve a leer. Ejecuta sudo systemctl reload nginx (o el equivalente para Apache, HAProxy o tu plataforma). Este es el fallo más frecuente en configuraciones "automatizadas": el cron de renovación funciona a la perfección, nadie configuró el hook de recarga, y el servidor sigue sirviendo el certificado viejo desde la memoria.

Paso 5: verifica desde fuera. Comprueba desde un móvil con datos, un perfil de navegador nuevo o un escáner externo. Los certificados no tienen retardo de propagación: en cuanto el servidor se recarga, cada conexión nueva recibe el certificado nuevo.

La renovación está a punto de volverse implacable

Si hoy la renovación te parece manejable, el calendario está cambiando bajo tus pies. Según la votación SC-081v3 del CA/Browser Forum, aprobada en abril de 2025 por unanimidad (29-0), la vida máxima de un certificado TLS público bajó de 398 a 200 días el 15 de marzo de 2026, caerá a 100 días el 15 de marzo de 2027 y quedará en 47 días el 15 de marzo de 2029 (CA/Browser Forum). Let's Encrypt ya ha ido más lejos: en diciembre de 2025 anunció que su vida útil por defecto bajará de 90 a 45 días, y sus certificados de seis días están disponibles de forma general desde el 15 de enero de 2026.

Vidas útiles de certificados disponibles y permitidas en 2026. Fuentes: CA/Browser Forum, votación SC-081v3; Let's Encrypt.

La dirección no tiene vuelta atrás: renovaciones que antes se hacían una vez al año pronto tocarán cada seis o siete semanas, y con certificados de corta duración, cada pocos días. La renovación manual no sobrevive a ese calendario. La automatización deja de ser un lujo y se convierte en la única manera de mantener un certificado válido.

Cómo evitar que un certificado vuelva a caducar

• Automatiza la emisión y la renovación con ACME, y configura el hook de despliegue que recarga tu servidor web tras cada renovación.
• Monitoriza la caducidad desde fuera. Una comprobación externa detecta cada certificado que un script de renovación se saltó en silencio. Configura alertas 30, 14 y 7 días antes de la caducidad.
• Inventaría todos los certificados, no solo el del sitio principal: subdominios de API, servidores de correo, entornos de staging y paneles internos caducan según sus propios calendarios.
• Trata la renovación como un despliegue. Cambia lo que producción sirve, así que merece el mismo paso de verificación que una release de código.

Guías relacionadas

• Seguridad SSL/TLS: guía completa para la calificación A+ cubre protocolos, cadenas y configuración más allá de la caducidad.
• "La conexión no es privada": qué significa el error y cómo solucionarlo explica la pantalla de advertencia que tus visitantes están viendo ahora mismo.
• ERR_CERT_AUTHORITY_INVALID: por qué aparece y cómo solucionarlo trata los errores de cadena que suelen aparecer justo después de una renovación con prisas.
• ¿Qué es HSTS? explica por qué algunos visitantes no pueden saltarse las advertencias de certificado en absoluto.

Preguntas frecuentes

¿Pueden los visitantes abrir mi web mientras el certificado está caducado? En la mayoría de navegadores pueden continuar desde un menú de "Configuración avanzada", pero la mayoría no lo hace, y si tu sitio envía HSTS el navegador elimina esa opción por completo. Los clientes de API y las apps rechazan la conexión directamente.

¿Un certificado SSL caducado perjudica el SEO? Indirectamente, sí. Los rastreadores ven el mismo certificado inválido, los visitantes rebotan en la página de advertencia y HTTPS es una señal de posicionamiento confirmada. Cuanto más tiempo esté la advertencia, más tráfico y confianza pierdes.

¿Cuánto se tarda en arreglarlo? Con la automatización ACME en marcha, minutos: renovar, recargar, verificar. No hay periodo de propagación, porque el certificado nuevo se sirve a cada conexión nueva inmediatamente después de la recarga.

¿Por qué caducó mi certificado si la renovación automática estaba activada? Las causas habituales: la renovación se ejecutó pero no había hook de recarga configurado, así que el certificado viejo siguió en memoria; la validación falló en silencio tras un cambio de DNS o de cortafuegos; o la renovación cubría un nombre de host distinto del certificado que realmente caducó.

¿Importan los certificados caducados de las herramientas internas? Sí. Los certificados internos y de API fallan igual que los públicos, y se vigilan menos. Varias de las incidencias de este artículo empezaron con un certificado que nadie había inventariado.

Comprueba tus certificados antes que tus visitantes

Una fecha de caducidad no negocia nunca. Ejecuta un escaneo gratuito de FortifyNet y ve la fecha exacta de caducidad de tu certificado, la cadena completa, la configuración de protocolos, las cabeceras de seguridad, el DNS y la autenticación de correo en unos 60 segundos. Sin registro.

---

Fuentes: CA/Browser Forum, votación SC-081v3; Let's Encrypt, Certificate Lifetimes; Let's Encrypt, certificados de 6 días GA; The Register sobre la caída de Ericsson; TechCrunch sobre la caída de Teams; Data Center Dynamics sobre la caída de Spotify; Acer et al., "Where the Wild Warnings Are", ACM CCS 2017.