Iniciar handshake TLS directamente desde el servidor, leer certificado, negociar protocolo y validez restante.
Comprueba certificados SSL/TLS en línea. Introduce un dominio para ver la validez del certificado, coincidencia de dominio, días restantes, versión TLS, conjuntos de cifrado y lista SAN. El handshake se inicia desde el backend sin problemas de CORS.
El vencimiento de certificados, la falta de coincidencia de dominios y los errores de configuración son los tipos de fallos más comunes en sitios web HTTPS. Después del vencimiento, los navegadores muestran una advertencia de 'No seguro' que provoca la pérdida de visitantes, y el ranking de búsqueda de Google también se ve afectado. La comprobación periódica y la renovación anticipada son tareas básicas de DevOps para garantizar que HTTPS funcione correctamente.
SSL Labs realiza una puntuación profunda (incluyendo pruebas exhaustivas de protocolos, conjuntos de cifrado, vulnerabilidades, tarda aproximadamente 2 minutos), mientras que esta herramienta realiza comprobaciones básicas rápidas (devuelve resultados en 1-3 segundos), cubriendo información central como validez del certificado, vencimiento, versión TLS, conjuntos de cifrado y lista SAN, adecuada para validación rápida antes del lanzamiento, confirmación de renovación y resolución de problemas.
Posibles causas: 1) El sitio web bloquea IPs extranjeras (los servidores de comprobación están en el extranjero); 2) El servidor hace diferenciación SNI pero la configuración es incompleta; 3) Utiliza un certificado autofirmado de intranet empresarial; 4) El cortafuegos bloquea los nodos de comprobación. El fallo de comprobación no significa que el certificado tenga problemas; debe juzgarse basándose en mensajes de error específicos.
TLS 1.3 (2018, RFC 8446) es la última versión, con velocidad de handshake mejorada de 2-RTT de TLS 1.2 a 1-RTT o incluso 0-RTT, eliminando algoritmos inseguros como intercambio de claves RSA, RC4 y SHA-1, habilitando Forward Secrecy por defecto, con mejoras significativas tanto en seguridad como en rendimiento. Para nuevos despliegues se recomienda priorizar el soporte de TLS 1.3 mientras se mantiene TLS 1.2 para compatibilidad con clientes antiguos.
Se recomienda comenzar la preparación de renovación 30 días antes del vencimiento y completar el despliegue al menos 7 días antes. La herramienta utiliza alertas de color: >30 días verde (normal), 7-30 días amarillo (debe renovar), <7 días rojo (urgente). Los certificados Let's Encrypt tienen una validez de 90 días; se recomienda configurar la renovación automática.
Let's EncryptSAN (Subject Alternative Name, Nombre Alternativo del Sujeto) es una lista de dominios/IPs declarados permitidos para usar en el certificado. Los navegadores modernos (Chrome 58+) ya no confían en el campo Common Name (CN) y solo comprueban SAN. Si el dominio al que se accede no está en la lista SAN, los navegadores reportarán un error de 'coincidencia de nombre'. Un certificado puede cubrir múltiples dominios a través de SAN (por ejemplo, example.com, www.example.com, api.example.com).
Las huellas digitales del certificado (SHA-1/SHA-256) son valores hash del contenido del certificado, utilizables para HPKP (obsoleto), fijación de certificados (Certificate Pinning) y verificación manual de que los certificados desplegados coinciden con lo esperado — por ejemplo, confirmar si CDN ha cargado correctamente nuevos certificados o verificar si los certificados son idénticos entre múltiples servidores. Nota: Las huellas digitales SHA-1 son solo para identificación y no deben usarse para verificación de seguridad.
La comprobación de certificados SSL/TLS es el proceso de iniciar un handshake TLS desde el cliente para obtener y analizar la información del certificado devuelta por el servidor objetivo, determinando así si la configuración HTTPS es correcta. Los elementos centrales de comprobación incluyen: si el certificado está dentro de su período de validez, si el dominio accedido está en la lista permitida del certificado (coincidencia SAN), si la cadena de certificados es completa y confiable, si la versión del protocolo TLS y los conjuntos de cifrado utilizados son seguros, etc.
**¿Por qué es tan importante la comprobación de certificados?** Los certificados SSL son la base de confianza de HTTPS. Una vez que surgen problemas con el certificado (el más común es el vencimiento), los navegadores bloquean directamente el acceso, mostrando una página de advertencia roja 'Su conexión no es privada', causando daños directos al tráfico del sitio web, tasas de conversión, ranking SEO y confianza de marca. Según el monitoreo, el vencimiento de certificados es la causa más común de fallos HTTPS, representando más del 40% de todos los incidentes HTTPS.
**¿En qué se diferencia de acceder directamente en un navegador?** El acceso en navegador puede tener desviaciones debido a caché, HSTS, proxies empresariales, certificados de cliente, etc.; mientras que las herramientas de comprobación de certificados inician handshakes TLS estándar desde nodos independientes, devolviendo información de certificado objetiva y estandarizada adecuada para escenarios de verificación de DevOps. Esta herramienta inicia handshakes TLS directamente desde servidores backend, **sin restricciones CORS del navegador**, y puede comprobar cualquier dominio HTTPS accesible públicamente.
**Información central que comprueba esta herramienta**: Estado de autorización del certificado (si es válido), mensajes de error específicos de authorizationError, versión del protocolo TLS (TLS 1.2/1.3), conjunto de cifrado negociado (Cipher), resultados de negociación del protocolo ALPN (h2/http/1.1), emisor del certificado (Subject/Issuer), fechas de inicio y fin del período de validez (validFrom/validTo), días restantes (con alertas de color), lista de Nombres Alternativos del Sujeto SAN, huellas digitales SHA-1/SHA-256, tiempo de respuesta y detalles JSON completos.
Los resultados de comprobación suelen devolverse en 1-3 segundos, adecuados para escenarios como validación rápida antes del lanzamiento, confirmación de renovación y resolución de problemas. Para puntuación profunda (como la calificación A+-F de SSL Labs, que incluye renegociación, pruebas de vulnerabilidades, soporte de protocolos, etc.), se recomienda usar junto con SSL Labs Server Test.
| Versión del Protocolo | Año de Lanzamiento | Estado Actual | Notas |
|---|---|---|---|
SSL 1.0-3.0 | 1995-1996 | ❌ Obsoleto/Inseguro | Contiene vulnerabilidades críticas como POODLE; deshabilitado por todos los navegadores modernos |
TLS 1.0 | 1999 | ❌ Obsoleto | Vulnerabilidades BEAST, CRIME; prohibido desde PCI DSS 2018 |
TLS 1.1 | 2006 | ❌ Obsoleto | Oficialmente obsoleto en RFC 8996; Chrome/Firefox eliminaron soporte en 2020 |
TLS 1.2 | 2008 | ⚠️ Ampliamente Soportado (Transición) | Actualmente el más desplegado con mejor compatibilidad, pero tiene riesgos de algunos conjuntos de cifrado débiles |
TLS 1.3 | 2018 (RFC 8446) | ✅ Recomendado | Handshake más rápido (1-RTT/0-RTT), algoritmos débiles eliminados, preferido por navegadores modernos |
| Días Restantes | Color de Estado | Acción Recomendada |
|---|---|---|
| >30 días | 🟢 Verde (Normal) | No se requiere acción; comprobar periódicamente |
| 7-30 días | 🟡 Amarillo (Advertencia) | Iniciar el proceso de renovación lo antes posible para garantizar el reemplazo antes del vencimiento |
| <7 días | 🔴 Rojo (Urgente) | Renovar inmediatamente; los navegadores bloquearán el acceso después del vencimiento |
| 0 días/Vencido | 🔴 Rojo (Vencido) | El certificado no es válido; los usuarios verán advertencias de seguridad y debe abordarse de inmediato |
| Tipo de Error | Causas Comunes | Dirección de Solución |
|---|---|---|
| Certificado vencido (expired) | El certificado no se renovó pasada la fecha validTo | Renovar y desplegar un nuevo certificado rápidamente |
| Coincidencia de nombre (name mismatch) | El dominio de acceso actual no está en la lista SAN del certificado | Reemitir el certificado incluyendo el dominio objetivo, o verificar la configuración de origen de CDN |
| Cadena incompleta (incomplete chain) | El servidor no configuró correctamente los certificados intermedios | Desplegar el certificado intermedio combinado con el certificado hoja |
| Certificado autofirmado (self-signed) | El certificado fue emitido por una CA privada, no es de confianza pública | Usar una CA de confianza pública como Let's Encrypt para emitir el certificado |
| Emisor no confiable (untrusted issuer) | El certificado raíz de la CA no está en el almacén de confianza del navegador | Reemplazar con un certificado emitido por una CA de confianza |
