Errores de certificado SSL: guía completa de cada error común

Los errores de certificado SSL impiden que los visitantes lleguen a tu sitio de forma segura. Esta guía cubre cada código de error común, qué significa y cómo solucionarlo, ya seas un visitante o un propietario de sitio web.

Para el error más común específicamente, consulta nuestra guía dedicada: Solucionar «Tu conexión no es privada» →

Tabla de referencia de errores

Soluciones detalladas de errores

ERR_CERT_DATE_INVALID — Certificado expirado

Causa: La fecha Not After del certificado ha pasado. Con los certificados de 90 días de Let’s Encrypt, esto ocurre si olvidas renovar.

Solución para visitantes: Verifica la fecha y hora de tu dispositivo; si tu reloj está mal, los certificados válidos parecen expirados.

Solución para propietarios:

# Check the actual expiry
echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -enddate

Renueva inmediatamente, reemplaza los archivos, recarga el servidor. Configura monitoreo para prevenir esto en el futuro.

ERR_CERT_COMMON_NAME_INVALID — Dominio no coincide

Causa: El certificado fue emitido para example.com pero estás visitando www.example.com (o viceversa), o el certificado cubre un dominio completamente diferente.

Solución para propietarios:

# Check which domains the certificate covers
echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -ext subjectAltName

Obtén un nuevo certificado que incluya todos los dominios necesarios. En GetHTTPS, añade tanto example.com como www.example.com.

ERR_CERT_AUTHORITY_INVALID — CA no confiable

Causa: El certificado es autofirmado, emitido por una CA desconocida, o la cadena de confianza intermedia está incompleta.

Solución para propietarios:

• Si es autofirmado → reemplazar con un certificado de Let’s Encrypt
• Si la cadena está incompleta → usar fullchain.pem (Nginx) o añadir SSLCertificateChainFile (Apache)
• Si la CA es desconocida → cambiar a una CA confiable

ERR_SSL_PROTOCOL_ERROR — Fallo en la negociación

Causa: La configuración TLS del servidor está rota: ruta de certificado incorrecta, archivos corruptos o configuración mal hecha.

Solución para propietarios:

# Test the TLS connection
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com

# Check if the certificate and key match
openssl x509 -noout -modulus -in cert.pem | openssl md5
openssl rsa -noout -modulus -in privkey.pem | openssl md5
# Hashes must match

Causas comunes: ruta de archivo incorrecta en la configuración del servidor, certificado y clave de sesiones diferentes, permisos de archivo demasiado restrictivos.

ERR_SSL_VERSION_OR_CIPHER_MISMATCH — Sin TLS compatible

Causa: El servidor solo soporta versiones TLS antiguas (1.0/1.1) que el navegador ha dejado de usar, o utiliza suites de cifrado que el navegador no soporta.

Solución para propietarios:

# Nginx — enable modern TLS
ssl_protocols TLSv1.2 TLSv1.3;

# Apache
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1

Advertencias de contenido mixto

Causa: Tu página HTTPS carga imágenes, scripts o CSS a través de HTTP.

Esto no es un error de certificado: el certificado está bien, pero la página referencia recursos inseguros. Guía completa de corrección de contenido mixto →

Flujo de diagnóstico

Cuando veas cualquier error SSL, sigue esta secuencia:

1. Verifica el código de error → identifica la categoría
         ↓
2. Verifica los detalles del certificado
   openssl s_client -connect domain:443 -servername domain
         ↓
3. ¿Está expirado? → Renovar
   ¿Dominio no coincide? → Re-emitir para el dominio correcto
   ¿Cadena incompleta? → Usar fullchain.pem
   ¿Autofirmado? → Cambiar a Let's Encrypt
   ¿Error de configuración? → Verificar rutas de archivos y permisos
         ↓
4. Después de corregir → recargar servidor, limpiar caché del navegador, verificar

Herramientas de diagnóstico en línea

Preguntas frecuentes

Corregí el error pero el navegador sigue mostrándolo

Limpia la caché de tu navegador (Ctrl+Shift+Delete) o prueba en una ventana de incógnito. Los navegadores almacenan en caché los estados SSL, y HSTS puede forzar una decisión en caché. En Windows, también limpia el estado SSL: Propiedades de Internet → Contenido → Borrar estado SSL.

El error aparece en algunos navegadores pero no en otros

Diferentes navegadores tienen diferentes almacenes de confianza y caché. Lo más común: una cadena de certificados incompleta que algunos navegadores pueden completar desde la caché mientras otros no pueden. Solución: servir la cadena completa desde tu servidor.

¿Cómo prevengo errores SSL?

1. Monitorear el vencimiento del certificado — configurar alertas para el día 60 de 90
2. Usar fullchain.pem en lugar de cert.pem — previene errores de cadena
3. Incluir todas las variantes de dominio (www + sin www) en tu certificado
4. Configurar renovación automática con Certbot para servidores de producción
5. Probar después de cada cambio con SSL Labs