Comprobar el certificado SSL de una web

Escribe un dominio para comprobar si su certificado HTTPS es válido, cuántos días le quedan y qué nombres cubre.

Cómo comprobar un certificado SSL

Escribe el dominio de la web (o pega su URL). Para otro servicio, añade el puerto: :465 (SMTP), :993 (IMAP)…
Pulsa «Comprobar»: nos conectamos como lo haría un navegador y leemos el certificado.
Revisa si es válido, cuántos días le quedan y si cubre todos los nombres que usas (con y sin www).

Qué es un certificado SSL (TLS)

El certificado es el documento digital que permite a una web usar HTTPS. Sirve para dos cosas: cifrar la conexión entre tu navegador y el servidor, y demostrar que el servidor es de verdad el del dominio que has escrito y no un impostor.

Lo emite una autoridad de certificación (Let's Encrypt, DigiCert, Sectigo, Google Trust Services…) después de comprobar que quien lo pide controla el dominio. Aunque se sigue diciendo «SSL», el protocolo actual es TLS: SSL está obsoleto desde hace años.

Por qué un certificado deja de ser válido

Caducidad: todos los certificados caducan. Los de Let's Encrypt duran 90 días y la duración máxima de cualquier certificado se está reduciendo por fases hasta 47 días. Lo normal es renovarlos de forma automática.
Nombre que no coincide: el certificado de ejemplo.com no vale para www.ejemplo.com salvo que lo incluya en su lista de nombres (o sea un comodín *.ejemplo.com).
Cadena incompleta: el servidor debe enviar también los certificados intermedios. Si falta alguno, algunos navegadores y casi todos los programas fallan.
Autofirmado: generado por el propio servidor, sin autoridad que lo respalde. Vale para pruebas, no para una web pública.
Revocado: el emisor lo ha anulado, por ejemplo porque se filtró la clave privada.

Qué revisar en el resultado

Días restantes: si quedan menos de dos semanas y la renovación es automática, algo está fallando.
Nombres que cubre: comprueba que están todos los que usas, con y sin www, y los subdominios.
Emisor: te dice qué autoridad lo firmó y, por tanto, dónde se renueva.
Clave pública: RSA de 2048 bits o más, o ECDSA (más rápida y con la misma seguridad).
Protocolo: TLS 1.3 o 1.2. Las versiones 1.0 y 1.1 están retiradas y los navegadores ya no las admiten.

También para correo y otros servicios

Los servidores de correo, LDAP o DNS cifrado usan los mismos certificados. Añade el puerto al dominio para comprobarlos:

465: envío de correo (SMTP con TLS).
993: IMAP con TLS.
995: POP3 con TLS.
636: LDAP con TLS.
853: DNS sobre TLS.
8443: paneles web alternativos.

Por seguridad solo permitimos estos puertos y nunca nos conectamos a direcciones privadas.

Preguntas frecuentes

¿Cómo sé cuándo caduca el certificado de mi web?

Escribe tu dominio en la herramienta: verás la fecha exacta y los días que quedan. En el navegador también puedes verlo pulsando el candado junto a la dirección.

La web funciona en mi navegador pero aquí dice que la cadena no es de confianza, ¿por qué?

Normalmente es una cadena incompleta: algunos navegadores descargan el intermedio que falta por su cuenta, pero muchos programas, aplicaciones móviles y servidores no lo hacen. Configura tu servidor para enviar el certificado junto con su cadena completa (fullchain).

¿Un certificado gratuito es menos seguro que uno de pago?

No. El cifrado es el mismo. Los de pago pueden incluir validación de la empresa (OV/EV), garantías o soporte, pero los navegadores los tratan igual que uno de Let's Encrypt.

¿Qué es un certificado comodín?

Uno emitido para *.ejemplo.com, que vale para cualquier subdominio de un nivel (www, tienda, correo…), pero no para ejemplo.com a secas ni para sub.sub.ejemplo.com, salvo que se añadan aparte.