Verificador de certificado TLS

Cómo funciona esta comprobación

Scanaris abre una conexión TLS con tu dominio igual que lo haría un navegador y lee el certificado que devuelve el servidor y el protocolo negociado. De ahí salen cuatro hallazgos posibles. Si la web no se sirve por HTTPS, severidad alta. Si el certificado ya caducó, crítica. Si caduca en 15 días o menos, alta; en 30 o menos, media. Y si el servidor acepta negociar TLS 1.0 o 1.1, media, porque son protocolos retirados que los navegadores modernos rechazan y que permiten ataques conocidos. No se evalúan aquí los cifrados ni la cadena de certificados en detalle; el objetivo es detectar lo que va a romper tu web o dejarla sin cifrado real.

Por qué importa

Un certificado caducado no es un aviso discreto: el navegador muestra una pantalla roja a página completa y la mayoría de los visitantes se va. Los procesadores de pago y las integraciones por API fallan al instante. Y es la caída más frecuente de todas, porque un certificado de Let's Encrypt dura 90 días, el máximo permitido hoy es de 398 y la industria ha acordado bajarlo hasta 47 días en 2029: sin renovación automática, antes o después caduca un fin de semana. Los protocolos antiguos son el otro problema: un servidor que acepta TLS 1.0 permite a un atacante en la misma red forzar esa versión y descifrar el tráfico.

Cómo arreglarlo

Certificado caducado o a punto de caducar

• En Vercel, Netlify, Cloudflare, Railway o Render el certificado se emite y renueva solo. Si ves este hallazgo ahí, casi siempre es que el dominio apunta a otro sitio o que la verificación del dominio falló: revisa los registros DNS en el panel.
• En tu propio servidor, usa un cliente ACME (certbot o el de tu panel) con renovación programada y comprueba que la tarea está activa: certbot renew --dry-run no debe dar errores.
• Pon una alerta externa. La renovación automática falla en silencio cuando cambia el DNS o caduca un token. Scanaris te avisa por correo a los 30, 14 y 3 días.

Protocolos obsoletos

En nginx: ssl_protocols TLSv1.2 TLSv1.3;. En Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3. En un balanceador de AWS o de Google, elige una política de seguridad moderna. Las plataformas gestionadas ya lo hacen así.

Sin HTTPS

Activa el certificado en tu hosting (suele ser una casilla) y después la redirección de HTTP a HTTPS, que mide el check de redirección HTTPS.

Comprueba que está arreglado

echo | openssl s_client -connect tudominio.com:443 -servername tudominio.com 2>/dev/null | openssl x509 -noout -dates
echo | openssl s_client -connect tudominio.com:443 -servername tudominio.com -tls1_1 2>&1 | grep -iE "alert|error|no protocols" | head -1

El primer comando muestra la fecha de caducidad; el segundo intenta conectar con TLS 1.1 y debe fallar. Qué significa cada parte de la nota de TLS, en qué significa realmente tu nota de TLS.

Preguntas frecuentes

Mi hosting renueva solo. ¿Por qué me avisa?

Porque algo ha fallado en esa renovación: un registro DNS cambiado, un dominio que ya no apunta a la plataforma o un límite de emisión. Entra en el panel del hosting y mira el estado del certificado del dominio.

¿Un certificado gratuito es peor?

No. Cifra exactamente igual que uno de pago. Los de pago añaden validación de la organización o garantías, no más seguridad en la conexión.

¿Tengo que desactivar TLS 1.2 también?

No. TLS 1.2 bien configurado sigue siendo seguro y necesario para algunos clientes. Lo que hay que quitar es 1.0 y 1.1.