Comprobador SSL
Comprueba el certificado SSL/TLS de una web: quién lo emitió, cuándo caduca y si los navegadores confiarán en él.
Cargando Comprobador SSL… Si no ocurre nada, activa JavaScript.
Todas las webs HTTPS presentan un certificado durante el handshake TLS. Ese certificado vincula el nombre del sitio a una clave pública y está firmado por una autoridad de certificación (CA) en la que los navegadores ya confían. Cuando algo falla, el certificado caducó anoche, el servidor olvidó enviar el certificado intermedio o el nombre del certificado no coincide con el dominio, los visitantes ven un aviso de seguridad a pantalla completa y la mayoría se va. Este comprobador SSL se conecta al servidor igual que un navegador y te muestra exactamente lo que presenta.
Ejemplos
example.com
Trusted chain · Name matches · 54 days left · EC 256 bit · TLSv1.3
Un certificado sano: todas las comprobaciones pasan.
a site serving only its leaf certificate
Not trusted: the intermediate certificate(s) are missing
Suele funcionar en navegadores de escritorio pero falla en móviles, curl y clientes de API.
Preguntas frecuentes
¿Por qué mi web funciona en el navegador pero el comprobador dice que la cadena no es de confianza?
¿Qué significa 'name mismatch' (el nombre no coincide)?
¿Con cuántos días de antelación debo renovar?
¿Puedo comprobar un servidor de correo u otro puerto?
¿Qué tamaño de clave y algoritmo de firma son aceptables hoy?
¿El comprobador busca vulnerabilidades como Heartbleed o cifrados débiles?
¿Para qué sirven las huellas SHA-256 y SHA-1?
¿Se registran los dominios que compruebo?
Acerca de Comprobador SSL
Escribe un dominio (o pega una URL completa) y la herramienta realiza un handshake TLS real con el SNI configurado para ese nombre. Muestra el titular y el emisor del certificado, el periodo de validez y los días que quedan, el tipo y tamaño de la clave pública, el algoritmo de firma, el número de serie, las huellas SHA-256 y SHA-1, todos los Subject Alternative Names que cubre el certificado y la cadena completa de certificados intermedios que envía el servidor. También indica la versión de TLS y el cifrado negociados.
El veredicto se basa en comprobaciones independientes. La confianza se prueba con un segundo handshake que valida la cadena contra un almacén estándar de raíces, así que un certificado autofirmado, una CA privada o un intermedio que falta se detectan aunque tu navegador tenga el intermedio en caché y todo parezca correcto. El nombre se compara con la lista SAN usando las mismas reglas de comodín que los navegadores (un comodín cubre exactamente un nivel, por lo que *.example.com no cubre example.com ni a.b.example.com). También se señalan la caducidad, las fechas aún no válidas, las claves RSA cortas, las firmas SHA-1 y las versiones antiguas de TLS.
La comprobación se hace desde nuestro servidor, así que muestra lo que ve la internet pública, que es lo que importa tras renovar un certificado o cambiar de CDN. Las direcciones privadas e internas están bloqueadas y solo se permiten puertos TLS (443, 8443 y los puertos de TLS implícito de correo y LDAP 465, 993, 995 y 636). No se guarda nada sobre los dominios que compruebas.
Del SSL 2.0 de Netscape a los certificados de 47 días
SSL nació en Netscape en 1994 para hacer posibles las compras online. La versión 1.0 nunca se publicó por sus fallos graves, y SSL 2.0, incluido en Netscape Navigator en 1995, se rompió poco después. SSL 3.0 (1996) fue un rediseño, y su sucesor pasó a llamarse TLS 1.0 en 1999, cuando el IETF se hizo cargo del protocolo, en parte para no dar la impresión de que simplemente avalaba el trabajo de Netscape. Se sigue diciendo 'certificado SSL' aunque el propio SSL lleva años prohibido.
La validez de los certificados no ha dejado de reducirse. A principios de la década de 2010 se podía comprar un certificado válido durante cinco años. El CA/Browser Forum bajó el máximo a 39 meses en 2015 y a 825 días en 2018, y Apple impuso por su cuenta 398 días en 2020 haciendo que Safari rechazara cualquier certificado más largo. En 2025 el Forum votó ir más allá y reducir el máximo por etapas hasta 47 días en 2029, lo que hace la renovación automática prácticamente obligatoria.
Let's Encrypt cambió la economía del HTTPS cuando se lanzó en 2015 con certificados gratuitos y automáticos y una validez de 90 días elegida a propósito para empujar la automatización. En pocos años se convirtió en la mayor autoridad de certificación del mundo, con millones de certificados emitidos al día, y la proporción de páginas cargadas por HTTPS en Chrome pasó de menos de la mitad a bastante más del 90 por ciento.