Un certificado SSL autofirmado es un certificado digital que el propio servidor genera y firma, sin intervención de ninguna Autoridad de Certificación (CA) reconocida. Cifra la conexión igual que cualquier certificado SSL, pero los navegadores no lo reconocen como confiable, por lo que muestran una advertencia al visitante.
¿Qué es exactamente un certificado SSL autofirmado?
Todo certificado SSL contiene una firma digital que garantiza su autenticidad. Normalmente esa firma la emite una CA como Let's Encrypt, DigiCert o Sectigo, entidades cuya identidad ya viene preinstalada en el navegador.
En un certificado autofirmado, el servidor actúa como su propia CA: genera el par de claves, crea el certificado y lo firma con su propia clave privada. El resultado técnico es idéntico en cuanto a cifrado, pero la cadena de confianza es inexistente para cualquier cliente externo.
¿Cómo se crea uno?
La herramienta más común es OpenSSL. Un comando típico se ve así:
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodesCon ese comando obtienes un certificado válido por 365 días, firmado por ti mismo. Nada más. Ningún navegador lo aceptará sin mostrar una advertencia.
Ventajas reales del certificado SSL autofirmado
Aunque su uso en producción pública está contraindicado, existen escenarios donde un autofirmado tiene sentido claro:
- Coste cero: no requiere pagar a ninguna CA ni renovar con un tercero.
- Disponibilidad inmediata: se genera en segundos desde la línea de comandos.
- Control total: puedes definir el periodo de validez, los campos del subject y los nombres alternativos (SAN) sin restricciones externas.
- Entornos aislados: en redes internas donde tú controlas los dispositivos cliente puedes instalar tu propio certificado raíz y eliminar la advertencia.
Cuándo SÍ tiene sentido usarlo
El autofirmado cumple una función legítima en varios contextos técnicos:
Desarrollo local
Cuando necesitas probar HTTPS en localhost o en una IP privada, un autofirmado es la opción más rápida. Herramientas como mkcert incluso lo instalan como CA de confianza en tu sistema para que el navegador no muestre advertencias.
Infraestructura interna
Paneles de administración, sistemas de monitoreo, dashboards internos y APIs entre microservicios que nunca son accedidos por usuarios externos pueden operar con autofirmados, siempre que los clientes estén configurados para aceptarlos o tengan el certificado raíz instalado.
CI/CD y pruebas automatizadas
Los pipelines de integración continua frecuentemente necesitan HTTPS para reproducir el entorno de producción. Los runners pueden configurarse para omitir la verificación del certificado (--insecure en curl, o la opción equivalente en el lenguaje del test), o para confiar en el autofirmado generado al inicio del pipeline.
Cuándo NO debes usarlo (y por qué)
Este es el punto más importante. Existen razones técnicas y de experiencia de usuario por las que un autofirmado es inapropiado en sitios públicos:
- Advertencia de seguridad en el navegador: Chrome, Firefox y Safari muestran una pantalla de bloqueo ("Tu conexión no es privada" / "NET::ERR_CERT_AUTHORITY_INVALID") que la mayoría de los usuarios abandona inmediatamente.
- Daño al SEO: Google penaliza o directamente no indexa páginas con problemas de certificado reportados por Chrome.
- Imposibilidad de verificar identidad: el certificado no vincula el dominio con ninguna entidad verificada, lo que lo hace inútil como prueba de legitimidad ante el usuario.
- Alternativa gratuita disponible: Let's Encrypt emite certificados de dominio validado (DV) gratuitos con renovación automática. No existe justificación económica para usar un autofirmado en producción pública.
Si tu sitio es público y necesitas HTTPS, revisa las opciones de certificados SSL en nuestra sección dedicada para elegir el tipo correcto según tu caso.
Autofirmado vs. certificado de CA: comparativa rápida
| Característica | Autofirmado | Emitido por CA |
|---|---|---|
| Coste | Gratuito | Gratuito (Let's Encrypt) o de pago |
| Confianza del navegador | No (advertencia) | Sí (candado verde) |
| Cifrado real | Sí | Sí |
| Verificación de identidad | No | Sí (DV/OV/EV) |
| Tiempo de emisión | Segundos | Minutos (DV) a días (EV) |
| Uso recomendado | Dev / interno | Cualquier sitio público |
Conclusiones clave
- Un certificado SSL autofirmado cifra la conexión pero no tiene cadena de confianza reconocida por los navegadores.
- Es una herramienta legítima para desarrollo local, infraestructura interna y pipelines de CI/CD.
- En sitios web públicos genera advertencias que alejan a los visitantes y perjudican el SEO.
- Let's Encrypt elimina el argumento del coste: no hay razón para usar un autofirmado en producción pública.
- Si gestionas la CA interna, puedes distribuir tu certificado raíz y hacer que los clientes internos confíen en tus autofirmados.
¿Necesitas un certificado SSL de confianza para tu sitio o tienda? En elenlace.com te ayudamos a elegir e instalar el certificado correcto para tu proyecto, sin complicaciones técnicas.
Preguntas frecuentes
¿Un certificado SSL autofirmado cifra la conexión?
Sí. El cifrado funciona exactamente igual que con un certificado de CA. La diferencia es que el navegador no puede verificar la identidad del emisor, por lo que muestra una advertencia. El tráfico sigue siendo cifrado si el usuario decide continuar.
¿Puedo usar un certificado autofirmado en mi servidor de correo?
Técnicamente sí, pero muchos clientes de correo y servidores remotos rechazarán la conexión o mostrarán errores. Para servidores de correo en producción se recomienda un certificado emitido por una CA reconocida, preferiblemente con el mismo dominio que el registro MX.
¿Cómo elimino la advertencia del navegador con un autofirmado?
Debes instalar tu certificado autofirmado (o el certificado raíz de tu CA interna) como certificado de confianza en cada dispositivo que acceda al servicio. En entornos corporativos esto se hace mediante directivas de grupo (GPO en Windows) o gestión de dispositivos móviles (MDM).
¿Cuánto dura un certificado SSL autofirmado?
El periodo de validez lo decides tú en el momento de crearlo. Puedes poner desde un día hasta décadas, aunque los navegadores modernos desconfían de certificados con validez superior a 398 días incluso cuando provienen de CAs reconocidas.
¿Prefieres que lo hagamos por ti? En El Enlace resolvemos hosting y desarrollo web profesional.
Para saber más
Otros proveedores y guías que vale la pena comparar:
