NET::ERR_CERT_AUTHORITY_INVALID (Certificado no confiable)

Qué significa este error y cómo reconocerlo

• Chrome u otro navegador basado en Chromium muestra NET::ERR_CERT_AUTHORITY_INVALID en lugar de cargar normalmente la página HTTPS.
• El navegador identifica la conexión o el certificado como no confiable y puede mostrar una pantalla de advertencia avanzada.
• Los detalles del certificado muestran un emisor desconocido, un certificado autofirmado o una ruta de certificación dañada o incompleta.
• El error afecta a un solo sitio web mientras otros sitios HTTPS funcionan, o afecta a muchos sitios cuando interviene un producto de seguridad local o un proxy de red.
• El nombre del sitio web puede parecer correcto aunque el certificado no sea confiable, lo que distingue este error de una advertencia por discrepancia del nombre de host.

Causas principales, ordenadas por probabilidad

1. Certificado autofirmado o emitido de forma privada: El certificado del sitio web no fue emitido por una autoridad certificadora en la que confíen el navegador o el sistema operativo. Esto puede ser intencionado en un sitio interno de desarrollo, pero es inesperado en la mayoría de los sitios web públicos.
2. Falta de un certificado intermedio: El servidor envía su certificado final sin el certificado intermedio necesario para conectarlo con una raíz de confianza. Algunos clientes pueden tener en caché el certificado que falta, mientras que otros rechazarán la cadena.
3. Inspección HTTPS corporativa, escolar, hotelera o de otro tipo: Un proxy o dispositivo de seguridad puede reemplazar el certificado del sitio web por uno emitido por una autoridad organizativa local. La advertencia aparece cuando esa autoridad falta, está dañada, es inesperada o se ha implementado incorrectamente.
4. Análisis HTTPS de un antivirus o endpoint: El software de seguridad puede inspeccionar el tráfico cifrado y emitir certificados locales. Una instalación dañada o un certificado local no confiable puede provocar la advertencia.
5. Fecha, hora o zona horaria incorrectas: Un reloj incorrecto en el dispositivo puede hacer que las fechas de validez del certificado parezcan incorrectas e interferir con la validación.
6. Almacén de confianza obsoleto o dañado: Es posible que el sistema operativo o el navegador no tenga un certificado raíz de confianza necesario, o que su base de datos de certificados esté obsoleta o dañada.
7. Portal cautivo o interferencia de la red: Una red pública puede redirigir el tráfico a una página de inicio de sesión o interferir de otro modo con la conexión HTTPS esperada.

Cómo solucionarlo

1. No omitas todavía la advertencia

No introduzcas contraseñas, datos de pago ni otra información sensible en una página que muestre este error. Evita continuar si no conoces el sitio o si la advertencia aparece en un servicio sensible. Omitir la advertencia puede ocultar una interceptación o un certificado configurado incorrectamente.

2. Determina si el problema está aislado

• Abre varios sitios web HTTPS conocidos.
• Prueba el sitio afectado en una ventana privada o en otro navegador.
• Si solo falla un sitio, es más probable que la causa sea su certificado o la cadena que entrega el servidor.
• Si muchos sitios fallan únicamente en una red, investiga si hay un proxy, inspección HTTPS, filtrado antivirus o un portal cautivo.
• Si el mismo sitio falla en distintos dispositivos y redes, informa del problema al propietario del sitio en lugar de cambiar repetidamente la configuración de seguridad local.

3. Inspecciona los detalles del certificado

Abre el panel de certificados o de detalles de la conexión del navegador en la página de advertencia. Observa:

• el sujeto del certificado y los nombres de host que cubre;
• el emisor;
• las fechas de inicio y caducidad de la validez;
• si la ruta de certificación está dañada o incompleta;
• si el emisor parece pertenecer a una empresa, escuela, producto antivirus o proxy local.

Que el nombre de host coincida no demuestra que el certificado sea confiable. Si el emisor es desconocido, se ha emitido de forma privada o es inesperado, no lo instales simplemente para eliminar la advertencia.

4. Verifica el reloj del dispositivo

Confirma la fecha, la hora y la zona horaria del dispositivo. Activa la configuración automática de hora cuando corresponda, cierra y vuelve a abrir el navegador, y prueba de nuevo. No cambies deliberadamente el reloj para forzar que un certificado parezca válido.

5. Comprueba si hay un portal cautivo

En una red pública, abre un sitio web que no sea sensible y completa el inicio de sesión normal de la red o la página de términos si aparece. Después, vuelve a conectarte al sitio HTTPS. Nunca envíes credenciales en una página de advertencia de certificado solo para completar el inicio de sesión de la red; utiliza el flujo normal del portal de la red o pide ayuda a su operador.

6. Investiga el proxy y el software de seguridad

Si el emisor del certificado menciona un proxy corporativo, una red escolar, un producto antivirus o una herramienta de seguridad del endpoint:

• confirma si la inspección HTTPS es esperada en esa red;
• pregunta al administrador si el certificado raíz de la organización debe instalarse mediante su proceso aprobado de gestión de dispositivos;
• actualiza o repara el producto de seguridad si es software propio;
• prueba desde una red de confianza únicamente cuando la política de tu organización lo permita.

No descargues un certificado raíz desde un sitio web no verificado. Instalar un certificado raíz otorga a su titular una amplia capacidad para hacer que los certificados parezcan confiables.

7. Si administras el sitio web, corrige la cadena de certificados

Confirma que el certificado:

• cubra el nombre de host solicitado;
• se encuentre dentro de su período de validez;
• haya sido emitido por una autoridad en la que confíen los clientes previstos; y
• se envíe junto con el certificado intermedio o los certificados intermedios necesarios desde el servidor.

Configura el servidor para que envíe la cadena completa, en lugar de depender de que cada cliente encuentre los certificados intermedios que faltan. Vuelve a probar después de la implementación desde varios navegadores, dispositivos y redes. Un sitio web público no debe utilizar un certificado autofirmado o privado, salvo que todos los clientes previstos estén configurados deliberadamente para confiar en su autoridad emisora.

8. Actualiza el software local solo cuando las pruebas apunten al dispositivo

Instala las actualizaciones pendientes del sistema operativo y del navegador mediante sus mecanismos normales de actualización. Si solo se ve afectado un navegador, revisa su configuración de proxy y certificados, y prueba con un perfil limpio. Si solo se ve afectado un dispositivo, pide a su administrador que inspeccione el almacén de confianza local y el software de seguridad. Evita eliminar certificados o desactivar la validación de certificados sin saber qué aplicación u organización los instaló.

Prevención y cómo verificar la solución

• Mantén actualizados el sistema operativo, el navegador y el software de seguridad del endpoint.
• Utiliza configuraciones automáticas de fecha, hora y zona horaria cuando corresponda.
• Instala certificados raíz administrados por la organización únicamente mediante un administrador aprobado o un proceso de gestión de dispositivos.
• Trata las advertencias inesperadas de certificados en redes públicas como señales de seguridad, no como indicaciones rutinarias para omitirlas.
• Los administradores de sitios web deben implementar un certificado para el nombre de host correcto y enviar la cadena intermedia completa necesaria.
• Evita descargar archivos de certificados o desactivar las comprobaciones HTTPS basándote en instrucciones no oficiales.

Preguntas frecuentes