Cómo conseguir un certificado SSL gratis

Qué hace un certificado SSL

En rigor, las conexiones actuales usan TLS, el sucesor de SSL, pero todo el mundo sigue diciendo "certificado SSL". Un certificado hace dos cosas:

• Cifrado: las contraseñas, los formularios y los pagos viajan cifrados, así que nadie en la red puede leerlos ni modificarlos.
• Identidad: una autoridad de certificación (CA) ha comprobado que quien pidió el certificado controla el dominio.

Los certificados gratuitos son de validación de dominio (DV): la CA comprueba que controlas el dominio, nada más. El cifrado es exactamente igual de fuerte que el de un certificado de pago. Los certificados OV y EV de pago añaden comprobaciones sobre la organización que hay detrás del sitio, algo que algunas empresas quieren, pero los navegadores muestran el mismo candado para todos.

Las opciones gratuitas, comparadas

Todos cifran igual de bien. La diferencia está en cómo se emiten y se renuevan, y eso importa más cada año.

Por qué importa la renovación automática

Los certificados duran cada vez menos en todo el sector. Según las normas del CA/Browser Forum, un certificado público puede durar como máximo 200 días desde marzo de 2026, 100 días a partir de marzo de 2027 y 47 días a partir de marzo de 2029.

Hoy los certificados de Let's Encrypt duran 90 días. Sus certificados por defecto pasan a 64 días en febrero de 2027 y a 45 días en febrero de 2028. Además, Let's Encrypt dejó de enviar correos de aviso de caducidad en 2025, así que nadie te avisará antes de que un certificado caduque.

La lección práctica: nunca renueves certificados a mano. Usa algo que los renueve solo, como AutoSSL en cPanel o Certbot en un VPS, y comprueba de vez en cuando que funciona.

En hosting compartido: AutoSSL en cPanel

En un hosting con cPanel normalmente no hay nada que hacer. AutoSSL pide un certificado de Let's Encrypt para cada dominio de la cuenta que apunta al servidor, lo instala y lo renueva antes de que caduque.

1. Apunta tu dominio al hosting: configura los servidores de nombres o el registro A que te dio tu proveedor y espera a que se actualice el DNS.
2. En cPanel, abre Security → SSL/TLS Status. Cada dominio indica si está cubierto, si está a punto de caducar o si tiene un problema con AutoSSL.
3. Si un dominio todavía no está cubierto, haz clic en Run AutoSSL. Solo funciona cuando el dominio ya resuelve al servidor.
4. Abre tu web con https:// y comprueba el candado. Con WordPress, cambia también la dirección del sitio a https://.

En el hosting web de HytHost, AutoSSL con Let's Encrypt está activado en todos los planes y cubre cada dominio y subdominio que añadas en cuanto apunte al servidor. Todo lo demás que hace cPanel está en qué es cPanel.

En un VPS: Certbot con nginx

En tu propio servidor, Certbot, de la EFF, obtiene certificados de Let's Encrypt y los renueva. El método oficial en Ubuntu usa el paquete snap:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Asegúrate de que el registro A de tu dominio apunta al VPS, de que nginx tiene un server_name para él y de que los puertos 80 y 443 están abiertos en el firewall. Después ejecuta:

sudo certbot --nginx -d example.com -d www.example.com

Certbot demuestra que controlas el dominio, instala el certificado en tu configuración de nginx y puede redirigir HTTP a HTTPS. También instala un temporizador que renueva los certificados automáticamente. Prueba la renovación una vez:

sudo certbot renew --dry-run

Detrás de Cloudflare

Si tu dominio pasa por Cloudflare con la nube naranja activada, los visitantes se conectan a Cloudflare, que les muestra su certificado gratuito Universal SSL. Eso cubre solo la mitad del camino: Cloudflare sigue conectándose a tu servidor.

• Pon el modo SSL/TLS en Full (strict). Así Cloudflare exige un certificado válido en tu servidor, y todo el trayecto queda cifrado y verificado.
• Dale un certificado a tu servidor: sirve Let's Encrypt mediante AutoSSL o Certbot, o un certificado gratuito Cloudflare Origin CA. Un certificado Origin CA solo es de confianza para Cloudflare, así que los visitantes verán errores si algún día desactivas el proxy.
• Evita el modo Flexible. Deja sin cifrar la conexión con tu servidor y a menudo provoca bucles de redirección.

Problemas habituales con SSL y cómo resolverlos

• El certificado no se emite: el dominio todavía no apunta al servidor, o el DNS aún tiene en caché la dirección antigua. Revisa el registro A y espera.
• Un registro CAA lo bloquea: si tu DNS tiene registros CAA, deben permitir la CA que usas, por ejemplo 0 issue "letsencrypt.org".
• La validación falla en un VPS: Let's Encrypt comprueba por el puerto 80 de forma predeterminada, así que mantén abierto el puerto 80 aunque la web redirija a HTTPS.
• "No seguro" a pesar del certificado: la página carga imágenes o scripts por http:// (contenido mixto). Cambia esos enlaces a https://.
• Un certificado comodín: *.example.com necesita validación por DNS, así que solo funciona con un plugin o proveedor de DNS capaz de crear el registro de verificación.
• El certificado ha caducado: la renovación automática dejó de funcionar. Revisa la página SSL/TLS Status en cPanel, o ejecuta certbot renew --dry-run en un VPS y lee el error.