Errores de SSL y seguridad

Acerca de esta categoría de errores

# Errores de SSL y seguridad

Los errores de SSL y seguridad aparecen cuando un navegador no puede establecer o validar una conexión HTTPS de confianza. El fallo puede producirse durante el handshake de TLS, cuando el servidor presenta su certificado o cuando el certificado no coincide con el hostname que se está visitando.

El mismo sitio web puede mostrar resultados diferentes para su dominio raíz, un subdominio o su variante www. Una CDN pública o un reverse proxy también pueden presentar un certificado diferente del servidor de origen. Empieza por registrar el hostname exacto y el error del navegador en lugar de tratar todas las advertencias de SSL como si fueran el mismo problema.

Síntomas comunes

Es posible que veas:

• Una advertencia que indica que la conexión no es privada o segura
• Un nombre de certificado o hostname que no coincide
• Una conexión que falla antes de que se cargue la página
• ERR_SSL_PROTOCOL_ERROR u otro mensaje relacionado con el protocolo TLS
• Resultados diferentes para el dominio raíz, un subdominio o el hostname www
• Un sitio que funciona a través de una CDN o proxy, pero falla al conectarse directamente a su origen

Diagnostica el fallo por capas

1. Registra el hostname y el error exactos

Comprueba el hostname completo en la barra de direcciones, incluido el subdominio. Compara el hostname afectado con las versiones www y sin www si ambas están en uso. Registra también el error completo del navegador, porque un certificado que no coincide y una negociación TLS fallida requieren comprobaciones diferentes.

Para un hostname que no coincide, consulta [NET::ERR_CERT_COMMON_NAME_INVALID](/errors/err-cert-common-name-invalid). Por lo general, esto significa que el servidor presentó un certificado que no cubre el hostname mostrado en la barra de direcciones.

2. Inspecciona el certificado presentado al navegador

Abre los detalles del certificado del navegador y revisa:

• Los Subject Alternative Names del certificado, que identifican los hostnames cubiertos
• Las fechas de validez
• El emisor y el estado de confianza
• La cadena de certificados
• Si el servidor presenta el certificado esperado en lugar del certificado predeterminado del proveedor de hosting

Un certificado para el dominio raíz no es automáticamente válido para todos los subdominios. El hostname afectado debe estar cubierto por los nombres del certificado o por un nombre wildcard aplicable.

Si el certificado es correcto en un entorno, pero no en otro, investiga el DNS, SNI, el enrutamiento del reverse proxy y la configuración de la CDN. Diferentes endpoints de TLS pueden servir certificados distintos para el mismo sitio aparente.

3. Distingue entre la validación del certificado y un fallo del handshake de TLS

Una advertencia de hostname o confianza normalmente significa que el navegador llegó a un punto en el que pudo inspeccionar un certificado. Un error de protocolo puede indicar que la negociación TLS falló antes. Comprueba si:

• El puerto 443 sirve HTTPS y TLS en lugar de HTTP sin cifrar
• Se selecciona el virtual host HTTPS previsto para el hostname solicitado
• La configuración TLS del servidor está habilitada y es válida internamente
• El certificado y la clave privada corresponden entre sí
• La cadena de certificados completa está instalada donde el servidor la espera
• Un proxy, balanceador de carga, firewall o CDN está interrumpiendo el handshake

Para el caso específico del protocolo, consulta [ERR_SSL_PROTOCOL_ERROR](/errors/err-ssl-protocol-error).

4. Compara las rutas de conexión pública y de origen

Determina si el error se produce solo en el hostname público, solo en el hostname de origen o en ambos. Una CDN o un reverse proxy puede terminar HTTPS en el edge público y utilizar una conexión TLS independiente con el origen. Su certificado y su configuración TLS no tienen por qué coincidir con la configuración del servidor de origen.

Verifica también que el DNS dirija el hostname al servicio previsto. Una dirección antigua, un servidor de staging o un endpoint de hosting compartido pueden devolver un certificado que no corresponde al sitio que pretendías visitar.

5. Repite la prueba con el hostname exacto que falla

Después de corregir una asociación de certificado, un mapeo de hostname o una capa TLS, vuelve a probar el mismo hostname. Si hay varios hostnames afectados, pruébalos de forma independiente. Así sabrás si el problema se limita a un endpoint o refleja un problema más amplio de configuración de DNS, proxy o servidor.

Evita omitir una advertencia del navegador como método de diagnóstico. Esto no corrige la configuración del servidor y puede exponer la conexión a riesgos. Primero identifica si el problema es un hostname que no coincide, una cadena de certificados no confiable o incompleta, o una negociación TLS fallida.

Cuándo usar las guías relacionadas

• Usa [ERR_SSL_PROTOCOL_ERROR](/errors/err-ssl-protocol-error) cuando el navegador informe que no se pudo completar el protocolo SSL o TLS.
• Usa [NET::ERR_CERT_COMMON_NAME_INVALID](/errors/err-cert-common-name-invalid) cuando el certificado presentado no coincida con el hostname de la barra de direcciones.

El mensaje exacto del navegador, el hostname, los detalles del certificado, el destino DNS y la ruta de conexión son más útiles que la etiqueta general «error de SSL». Captura esos datos antes de reemplazar certificados o cambiar la configuración del servidor.

Áreas de referencia adicionales

Para obtener detalles específicos de la implementación, consulta la documentación del navegador afectado, el servidor web, la autoridad de certificación, la CDN o el reverse proxy y la plataforma de hosting. Las secciones relevantes suelen llamarse instalación de certificados, cadenas de certificados, SNI o virtual hosts, configuración TLS y configuración de HTTPS del origen.