NET::ERR_CERT_AUTHORITY_INVALID significa que el navegador no puede verificar quién firmó el certificado SSL de ese sitio. Aparece principalmente en Chrome y Chromium cuando la cadena de confianza está rota, el certificado es autofirmado, o la fecha del sistema es incorrecta. Como propietario del sitio, la causa más frecuente es una cadena de certificados incompleta.
¿Qué significa este error exactamente?
Cada certificado SSL es emitido por una Autoridad Certificadora (CA). Los navegadores confían en un conjunto de CAs raíz instaladas en el sistema operativo. Cuando la cadena que va desde tu certificado hasta esa CA raíz tiene un eslabón roto o ausente, Chrome muestra este error.
El mensaje completo suele verse así:
Tu conexión no es privada
NET::ERR_CERT_AUTHORITY_INVALID
No confundas este error con NET::ERR_CERT_DATE_INVALID (certificado caducado) o NET::ERR_CERT_COMMON_NAME_INVALID (dominio incorrecto). Cada uno tiene una causa distinta.
Causas más comunes (y a quién afectan)
| Causa | ¿Afecta al propietario? | ¿Afecta al visitante? |
|---|---|---|
| Cadena de certificados incompleta | Sí | No |
| Certificado autofirmado en producción | Sí | No |
| CA privada o interna no confiable | Sí (entorno corporativo) | No |
| Fecha/hora incorrecta en el dispositivo del visitante | No | Sí |
| Antivirus o proxy con inspección SSL | No | Sí |
| Almacén de certificados raíz desactualizado | No | Sí |
Cómo resolverlo si eres propietario del sitio
1. Verifica e instala la cadena completa
La causa número uno es olvidar instalar los certificados intermedios. Cuando instalas un SSL, la CA te entrega tres archivos: tu certificado, el certificado intermedio y el certificado raíz. El raíz ya está en los navegadores; tú debes instalar el tuyo más el intermedio.
En Apache, el archivo SSLCertificateChainFile (o SSLCertificateFile con la cadena concatenada) debe incluir el certificado intermedio:
SSLCertificateFile /etc/ssl/tudominio.crt
SSLCertificateChainFile /etc/ssl/intermedios.crt
En Nginx, el archivo ssl_certificate debe ser la cadena completa (tu cert + intermedios en ese orden):
ssl_certificate /etc/ssl/tudominio_bundle.crt;
ssl_certificate_key /etc/ssl/tudominio.key;
Puedes comprobar la cadena con la herramienta online de diagnóstico de certificados SSL o con el comando:
openssl s_client -connect tudominio.com:443 -showcerts
Si ves solo un certificado en la cadena, los intermedios faltan.
2. Sustituye certificados autofirmados en producción
Un certificado autofirmado no está respaldado por ninguna CA reconocida. Es válido para entornos de desarrollo interno, pero nunca para un sitio público.
Solución: instala un certificado emitido por una CA reconocida. Let's Encrypt es gratuito y está incluido en la mayoría de paneles de hosting (cPanel, Plesk, DirectAdmin). Si necesitas características avanzadas (validación de organización, wildcard multi-nivel), evalúa una CA de pago.
3. Comprueba el nombre de dominio en el certificado
Si el certificado fue emitido para www.tudominio.com pero el visitante entra a tudominio.com (sin www), puede aparecer este error junto con ERR_CERT_COMMON_NAME_INVALID. Asegúrate de que tu certificado cubra ambas variantes, o usa un certificado wildcard.
Cómo resolverlo si eres el visitante
Corrige la fecha y hora de tu dispositivo
Los certificados tienen períodos de validez. Si el reloj de tu computadora está adelantado o atrasado varios días, el navegador puede considerar el certificado inválido. Ve a la configuración de fecha y hora de tu sistema y activa la sincronización automática (NTP).
Actualiza tu sistema operativo y navegador
Los almacenes de certificados raíz se actualizan con el sistema operativo. Una instalación de Windows XP o una distribución Linux sin actualizar puede no reconocer CAs modernas. Mantén tu sistema actualizado.
Revisa si un antivirus está interceptando el tráfico
Algunos antivirus (Avast, Kaspersky, ESET) inspeccionan el tráfico HTTPS insertando su propio certificado. Si el navegador no confía en ese certificado intermediario, mostrará el error. Desactiva temporalmente la inspección HTTPS en tu antivirus y comprueba si el error desaparece.
Prueba en una red diferente o modo incógnito
Proxies corporativos y algunos routers de ISP realizan inspección SSL. Si el error desaparece en otra red o con datos móviles, el problema es del entorno de red, no del sitio.
Para más contexto sobre cómo funcionan los certificados SSL y las autoridades certificadoras, visita nuestra guía de seguridad SSL.
Conclusiones clave
- El error indica que el navegador no puede verificar la firma del certificado SSL; no significa que el sitio sea peligroso per se.
- Como propietario, la causa más común es una cadena de certificados incompleta: instala los intermedios.
- Los certificados autofirmados están bien para desarrollo; nunca los uses en producción pública.
- Como visitante, verifica primero la fecha/hora de tu dispositivo y después si tu antivirus intercepta HTTPS.
- Herramientas como
openssl s_cliento un verificador online permiten diagnosticar la cadena en segundos.
Si el error persiste después de revisar la cadena de certificados, el equipo de elenlace.com puede diagnosticar y corregir la instalación SSL de tu servidor sin demora.
Preguntas frecuentes
¿Es peligroso ignorar el error NET::ERR_CERT_AUTHORITY_INVALID?
En sitios de terceros que no controlas, sí: la conexión podría ser interceptada. En tu propio servidor de desarrollo con un certificado autofirmado conocido, el riesgo es bajo. Nunca ignores el error en sitios donde ingresas contraseñas o datos de pago.
¿Let's Encrypt puede causar este error?
Sí, si la cadena no está bien configurada en el servidor. Let's Encrypt emite certificados de CA intermedia; si el servidor no envía ese intermedio, los dispositivos que no lo tengan en caché mostrarán el error. Verifica la cadena tras cada renovación.
¿El error puede aparecer solo en algunos dispositivos?
Sí. Dispositivos con sistemas operativos muy antiguos pueden no tener la CA raíz actualizada, o un antivirus específico puede estar interceptando el tráfico. Prueba desde otro dispositivo o red para aislar el problema.
¿Cómo sé si la cadena de certificados está completa?
Usa el comando openssl s_client -connect tudominio.com:443 -showcerts. Deberías ver al menos 2 certificados en la cadena (el tuyo más el intermedio). Si solo ves uno, falta el certificado intermedio en la configuración del servidor.
Para saber más
Otros proveedores y guías que vale la pena comparar:
