Cuando un certificado SSL caduca, los navegadores muestran de inmediato una advertencia de "conexión no privada" o "tu conexión no es segura", lo que provoca que la mayoría de los visitantes abandone el sitio. La solución es renovar el certificado lo antes posible y, a continuación, activar la renovación automática para que no vuelva a ocurrir.
En esta guía encontrarás los pasos concretos para renovar un certificado SSL caducado en los entornos más habituales: cPanel con AutoSSL, Let's Encrypt en un servidor propio y certificados de pago de una CA comercial.
¿Por qué caduca un certificado SSL?
Los certificados SSL tienen una vida útil máxima de 398 días (aproximadamente 13 meses) desde 2020, cuando los navegadores dejaron de reconocer certificados con plazos más largos. Esto obliga a renovarlos al menos una vez al año, y en muchos casos cada 90 días si se usa Let's Encrypt.
Las causas más frecuentes por las que un certificado llega a caducar sin renovarse son:
- La renovación automática estaba desactivada o falló silenciosamente.
- El dominio o la dirección de correo de notificación cambió y no se recibieron los avisos.
- El certificado era de pago y nadie gestionó la renovación a tiempo.
- Un cambio en el servidor (nueva IP, migración de hosting) rompió el proceso ACME de verificación.
Cómo identificar un certificado SSL caducado
El síntoma más obvio es la pantalla de advertencia del navegador. Pero puedes confirmarlo y ver la fecha exacta de vencimiento desde la línea de comandos:
openssl s_client -connect tudominio.com:443 2>/dev/null | openssl x509 -noout -datesEl campo notAfter te muestra la fecha de expiración. Si ya pasó, el certificado está caducado.
También puedes usar herramientas online como SSL Labs (ssllabs.com/ssltest) o WhyNoPadlock para obtener un informe visual completo.
Renovar el certificado según tu entorno
Opción 1: cPanel con AutoSSL (Let's Encrypt o Sectigo)
La mayoría de los planes de hosting con cPanel incluyen AutoSSL, que renueva el certificado automáticamente. Si el certificado caducó, AutoSSL probablemente falló por algún motivo. Sigue estos pasos:
- Accede a cPanel y ve a Seguridad > SSL/TLS > Administrar sitios SSL.
- Localiza el dominio afectado y haz clic en Actualizar certificado.
- Si el problema persiste, ve a SSL/TLS > AutoSSL y ejecuta manualmente la tarea con el botón Ejecutar AutoSSL.
- Revisa el registro de AutoSSL para identificar el error (dominio no resuelto, carpeta
.well-knownbloqueada, etc.).
Los errores más comunes en AutoSSL son:
- DCV failed: el dominio no apunta a la IP del servidor o hay una redirección que bloquea el archivo de validación.
- Rate limit exceeded: Let's Encrypt limita los intentos fallidos; espera unas horas y reintenta.
- Wildcard not supported: AutoSSL de Sectigo no cubre subdominios con comodín; necesitas un certificado wildcard aparte.
Opción 2: Let's Encrypt en VPS o servidor dedicado (Certbot)
Si gestionas tu propio servidor, Certbot es el cliente ACME más habitual. Para renovar manualmente:
certbot renew --dry-run # Prueba sin modificar nada
certbot renew # Renovación realSi el certificado ya caducó y Certbot no lo renueva automáticamente, puede haber un problema con el cron job. Verifica que existe:
crontab -l | grep certbot
# o en sistemas con systemd
systemctl list-timers | grep certbotSi no hay ninguna tarea programada, añade una:
0 3 * * * certbot renew --quiet --post-hook "systemctl reload httpd"Tras renovar, recarga el servidor web para que cargue el nuevo certificado:
systemctl reload httpd # Apache
systemctl reload nginx # NginxOpción 3: Certificado de pago (DigiCert, Comodo, Sectigo, etc.)
Los certificados comerciales (OV y EV) requieren una renovación manual con verificación de identidad. El proceso general es:
- Accede al panel de tu proveedor de certificados y genera una nueva CSR (Certificate Signing Request) desde tu servidor.
- Envía la CSR al proveedor y completa el proceso de validación (email, DNS o archivo HTTP según el tipo).
- Descarga los archivos del nuevo certificado:
.crt(certificado) +.ca-bundle(cadena de CA). - Instálalo en el servidor desde cPanel (SSL/TLS > Instalar y gestionar SSL) o manualmente en el virtual host.
| Tipo de certificado | Validez máxima | Renovación automática | Coste aproximado |
|---|---|---|---|
| Let's Encrypt (DV) | 90 días | Sí (Certbot/ACME) | Gratuito |
| DV comercial | 398 días | Sí (con cliente ACME del proveedor) | ~$10–$70 USD/año |
| OV (validación de organización) | 398 días | Parcial (requiere revisión manual) | ~$50–$200 USD/año |
| EV (validación extendida) | 398 días | No (proceso manual obligatorio) | ~$150–$400 USD/año |
Cómo eliminar la advertencia del navegador tras renovar
Una vez instalado el nuevo certificado, la advertencia desaparece automáticamente en la mayoría de los navegadores al recargar la página. Sin embargo, algunos puntos a verificar:
- Caché del navegador: fuerza una recarga con Ctrl+Shift+R (o Cmd+Shift+R en Mac).
- Caché de Cloudflare u otro proxy: purga la caché desde el panel del CDN.
- HSTS preload: si tu dominio está en la lista HSTS, el navegador puede rechazar el certificado caducado con más agresividad. La solución es siempre renovar el certificado, no desactivar HSTS.
- Certificado de cadena incompleta: asegúrate de incluir el bundle de la CA intermedia; sin él, algunos navegadores muestran advertencias incluso con un certificado válido.
Cómo evitar que vuelva a caducar
La mejor solución a largo plazo es la renovación automática. Aquí un resumen de las opciones:
- cPanel / hosting compartido: activa AutoSSL y verifica que el dominio resuelve correctamente. Configura una alerta de email en la sección de notificaciones de cPanel.
- VPS con Certbot: asegúrate de que el cron job o el timer de systemd está activo y usa el flag
--post-hookpara recargar el servidor web automáticamente. - Monitoring externo: herramientas como UptimeRobot (gratuito) o Better Uptime envían alertas cuando el certificado está a menos de 30 días de caducar.
- Calendarios de renovación: para certificados OV/EV con proceso manual, agenda la renovación 60 días antes de la fecha de expiración.
Si gestionas varios dominios y necesitas apoyo técnico continuo, contar con una agencia de alojamiento web con gestión SSL incluida es la forma más eficiente de garantizar que ningún certificado caduca sin aviso.
Consulta también el resto de guías en nuestra sección de seguridad SSL para mantener tu sitio siempre protegido.
Conclusiones clave
- Un certificado SSL caducado provoca advertencias en el navegador que alejan a los visitantes y dañan el SEO.
- La causa más habitual es el fallo silencioso de la renovación automática o un cambio en la configuración del servidor que rompe el proceso ACME.
- En cPanel, la solución más rápida es ejecutar AutoSSL manualmente desde SSL/TLS > AutoSSL.
- En VPS con Certbot, verifica que el cron job existe y añade un
--post-hookpara recargar el servidor web. - Los certificados OV/EV requieren renovación manual con antelación de al menos 60 días.
- El monitoreo externo con alertas de expiración es la red de seguridad definitiva.
¿Prefieres delegar la gestión de SSL? El equipo de elenlace.com se encarga de la instalación, configuración y renovación automática de tus certificados para que no tengas que preocuparte por esto.
Preguntas frecuentes
¿Mi sitio puede seguir funcionando con un certificado SSL caducado?
Técnicamente sí, el sitio sigue en línea, pero los navegadores modernos muestran una pantalla de advertencia completa que los usuarios deben aceptar explícitamente para continuar. La gran mayoría abandona en ese punto, por lo que en la práctica es equivalente a una caída del sitio.
¿Cuánto tiempo tarda en renovarse un certificado de Let's Encrypt?
El proceso automático de Certbot tarda menos de 60 segundos en la mayoría de los casos. La verificación DCV (validación de control de dominio) es instantánea si el dominio resuelve correctamente y el servidor es accesible desde Internet.
¿Afecta la expiración del SSL al posicionamiento en Google?
Sí. Google ha confirmado que HTTPS es un factor de posicionamiento. Además, un certificado caducado puede provocar que Googlebot no rastree el sitio correctamente, lo que deteriora el índice. Cuanto más tiempo permanezca el certificado caducado, mayor es el impacto negativo.
¿Qué diferencia hay entre renovar y reemitir un certificado SSL?
Renovar extiende la vigencia de un certificado antes de que caduque, manteniendo el mismo tipo y dominio. Reemitir (reissue) genera un nuevo certificado con las mismas condiciones pero con una nueva clave privada, generalmente porque se ha visto comprometida o se necesita un cambio en los datos de la organización. Ambos procesos anulan el certificado anterior.
Recursos útiles
Otros proveedores y guías que vale la pena comparar:
