Comprobador de certificado SSL
El certificado que ven tus visitantes y si su navegador lo va a aceptar. Los certificados fallan en silencio — caducan un domingo, o funcionan en tu portátil y avisan en un móvil porque falta un intermedio — y normalmente te enteras cuando un cliente te dice que tu web pone «no es segura».
Qué comprueba
- Si el certificado es válido ahora mismo, quién lo emitió y cuántos días exactos quedan antes de que caduque.
- Si de verdad cubre el dominio que has escrito, comodines incluidos: un comodín cubre un nivel, así que *.ejemplo.com no cubre ejemplo.com.
- Si la cadena está completa. Un intermedio que falta funciona en un navegador de escritorio que lo tiene en caché y falla en un móvil que no, y es horrible de diagnosticar si nadie te lo dice.
- Si está autofirmado, que siempre es un aviso del navegador para un visitante por muy correcto que sea en un servidor de pruebas.
Lo que esto no puede decirte
- Un certificado válido significa que la conexión va cifrada y que el nombre cuadra. No dice nada de si el software que hay detrás es seguro, y quien dé a entender lo contrario te está vendiendo algo.
- Esto comprueba una dirección en el puerto 443. Una web puede servir certificados distintos en subdominios distintos, y un servidor de correo o de administración es otra comprobación.
- Leemos el certificado y cerramos la conexión. No probamos qué versiones de protocolo ni qué cifrados acepta tu servidor, que es otro tipo de análisis.
Preguntas que nos hacen
Mi certificado caduca pronto. ¿Qué pasa si no hago nada?
El día que caduca, todos los visitantes ven un aviso a pantalla completa diciendo que tu web no es segura, y casi todos se van. No hay periodo de gracia. Si usas Let's Encrypt la renovación suele ser automática y lo que hay que comprobar es que la automatización sigue funcionando, porque falla en silencio cuando algo del servidor cambia.
A mí la web me funciona, pero aquí dice que la cadena está incompleta.
Ese es exactamente el síntoma. Tu navegador tiene el certificado intermedio que falta guardado de otra web, así que rellena el hueco sin decírtelo. Un visitante cuyo navegador no lo haya visto — a menudo en un móvil, a menudo en su primera visita — recibe el aviso. Se arregla instalando la cadena completa que te dio tu autoridad de certificación, no solo el certificado.
¿Qué es un certificado comodín y lo necesito?
Uno que cubre todos los subdominios de un nivel: *.ejemplo.com cubre www, tienda y blog, pero no ejemplo.com ni a.b.ejemplo.com. Lo necesitas si tienes varios subdominios. Si tienes una sola web, un certificado que nombre ejemplo.com y www.ejemplo.com es más sencillo y normalmente gratis.