Por qué un certificado válido puede seguir sacando F

El candado es una promesa muy estrecha

Un navegador muestra candado cuando se cumplen tres cosas: el certificado encadena a una raíz de confianza, cubre el nombre de host visitado y no ha caducado. Eso es todo. Nada sobre qué versión de protocolo se ofrece, qué cifrados se aceptan o si el servidor es vulnerable a ataques de degradación.

Una nota TLS plantea otra pregunta: qué tan bien está configurado este endpoint, no solo si puede establecer una conexión cifrada.

Seis fallos que producen una nota baja

Estas son las causas que vemos más a menudo entre los veinte mil sitios que seguimos, aproximadamente por orden de coste.

• •Certificado caducado o aún no válido: cero automático, sin importar todo lo demás.
• •Nombre de host no coincidente: el certificado es válido, pero para otro nombre. Frecuente tras una migración de dominio o cuando un CDN sirve un certificado compartido sin SNI.
• •Cadena incompleta: falta el intermedio, así que algunos clientes no pueden construir la ruta a la raíz. Los navegadores suelen disimularlo; los clientes de API y las pilas móviles no.
• •Protocolos heredados aún activos: ofrecer TLS 1.0 o 1.1 junto a versiones modernas arrastra la nota hacia abajo aunque nadie los use.
• •Cifrados débiles o sin confidencialidad hacia delante: el intercambio de claves RSA estático implica que una clave privada robada descifra el tráfico grabado.
• •Fallo de handshake: el servidor rechaza la sonda por completo, a menudo por requisitos estrictos de SNI o una regla de cortafuegos que bloquea clientes no navegador.

Diagnosticar por orden

Empieza separando problemas de certificado de problemas de configuración. Si el certificado está caducado o no coincide, nada más importa hasta arreglarlo. Si el certificado está bien, mira después la lista de protocolos: es el mayor contribuyente a una nota baja después de la validez del certificado.

El informe de dominio de CertH muestra cuál de las cinco áreas puntuadas perdió puntos, con la deducción concreta y la solución. Suele ser más rápido que leer un escaneo completo a mano.

# What does the certificate actually cover?
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName -dates

# Which protocols does the server accept?
for v in tls1 tls1_1 tls1_2 tls1_3; do
  printf '%s: ' "$v"
  echo | openssl s_client -connect example.com:443 -$v -servername example.com 2>/dev/null | grep -q "Protocol" && echo yes || echo no
done

La trampa del SNI

Un servidor que aloja muchos dominios necesita SNI para elegir el certificado correcto. Algunas configuraciones lo exigen y rechazan a los clientes que lo omiten: bien para navegadores, pero rompe herramientas de monitorización, clientes Java antiguos y algunas librerías de API. Si un escáner informa un fallo de handshake mientras los navegadores funcionan con normalidad, revisa esto primero.

FAQ