Qué son un certificado SSL y HTTPS
Un certificado (hoy, en rigor, TLS, aunque se sigue llamando SSL) confirma que el navegador habla con el servidor real de su dominio y permite una conexión cifrada HTTPS. Para ello, el certificado debe ser válido y estar emitido para el nombre correcto, y el servidor debe enviar la cadena completa de certificados hasta una autoridad de confianza y usar versiones actuales del protocolo TLS.
Por qué importa a una pequeña empresa
Cuando un certificado caduca, el navegador muestra un aviso a pantalla completa en lugar de la web y la mayoría de los visitantes se van. Los formularios y accesos sin HTTPS envían los datos en texto legible. Además, la validez de los certificados se acorta: los emitidos desde el 15 de marzo de 2026 valen como máximo 200 días, desde 2027 serán 100 y desde 2029, solo 47. Renovarlo a mano una vez al año ya no basta.
Errores habituales con el certificado SSL
- Falta el certificado intermedio. El ordenador abre la web, pero algunos móviles, pasarelas de pago u otros programas rechazan la conexión.
- No todas las variantes llevan a HTTPS. La dirección con o sin www, o con http://, queda sin cifrar o termina en un error.
- El servidor sigue admitiendo TLS 1.0 y 1.1, obsoletos desde 2021 (RFC 8996). Bastan TLS 1.2 y 1.3.
- Falta HSTS. La cabecera Strict-Transport-Security indica al navegador que abra la web solo por HTTPS. Sin ella, un atacante en la red puede interceptar cualquier visita que empiece por una dirección sin https y mantenerla sin cifrar. La primerísima visita solo la protege la inclusión en la lista de precarga HSTS.
- Contenido mixto: una página en HTTPS carga imágenes o scripts por http://.
Qué comprueba WebMeter y qué no
WebMeter establece la misma conexión que un navegador y comprueba la validez y la próxima caducidad del certificado, la coincidencia del nombre, la cadena y la confianza, la solidez de la clave, la revocación mediante OCSP (si el certificado lo indica), las versiones de TLS admitidas, los cifrados débiles y la redirección de las variantes accesibles con y sin www a HTTPS. Avisa del contenido mixto, de la falta de HSTS y de una renovación probablemente manual del certificado.
El análisis es pasivo: no prueba vulnerabilidades ni todos los cifrados, analiza una dirección IP del servidor y solo el dominio introducido, no el servidor de correo ni otros subdominios. Desde 2025 los certificados de Let's Encrypt no indican dirección OCSP, y WebMeter no lee las listas de revocación (CRL). La nota estimada según la metodología de SSL Labs es orientativa.