Comprobador de certificados SSL

Escribe un nombre de dominio y la herramienta abre una conexión HTTPS normal desde nuestro servidor, lee el certificado que presenta el sitio y muestra lo que ha encontrado. La cifra de días restantes es lo primero que conviene mirar; debajo aparecen el emisor, el nombre para el que se emitió el certificado, el periodo de validez y la versión de TLS que acordaron las dos partes. Puedes pegar una URL completa: todo lo que va después del nombre de host se ignora.

Un certificado por sí solo no demuestra nada. Lo que genera confianza es una cadena: tu navegador incluye un almacén de certificados raíz de unas cuantas decenas de autoridades de certificación, cada raíz firma certificados intermedios y un intermedio firma el certificado que presenta la web. Al conectar, el servidor envía su propio certificado junto con los intermedios y el navegador recorre la cadena hacia arriba hasta llegar a una raíz en la que ya confía. El emisor que ves aquí es la organización que firmó el certificado del sitio, normalmente una CA intermedia de Let's Encrypt, Google Trust Services o DigiCert. Si un servidor olvida enviar su intermedio, los navegadores de escritorio suelen tapar el hueco mientras que los móviles y los clientes de línea de comandos fallan sin más: por eso un sitio puede funcionarte a ti y estar roto para un compañero.

La caducidad es el fallo con el que todo el mundo se topa tarde o temprano. Los certificados duran poco a propósito — noventa días en Let's Encrypt, y el sector va hacia plazos aún más cortos — porque una clave robada deja de servir en cuanto el certificado vence. A cambio, la renovación tiene que estar automatizada y la automatización tiene que estar vigilada. Cuando un certificado caduca de verdad, el navegador no enseña un aviso discreto: interrumpe con una página de bloqueo que la mayoría de las visitas no atraviesa, y los clientes de API simplemente rechazan la conexión. La renovación suele ejecutarse treinta días antes, así que quedar por debajo de dos semanas significa que la automatización ya ha fallado dos veces y necesita una persona. Ese es justo el punto en el que esta herramienta pone el número en ámbar.

La lista de nombres importa tanto como la fecha. Un certificado solo vale para los nombres que figuran en su extensión de nombres alternativos (SAN); los navegadores ignoran por completo el viejo campo de nombre común. Un comodín como *.example.com cubre un único nivel — blog.example.com sí, shop.eu.example.com no — y no cubre el dominio desnudo example.com salvo que aparezca listado aparte, un desajuste con el que alguien tropieza cada semana. La línea de versión TLS indica lo que realmente se negoció: TLS 1.3 es lo actual y su saludo inicial es más rápido, TLS 1.2 sigue siendo válido y cualquier cosa anterior lleva mucho tiempo obsoleta y será rechazada por los clientes al día.

Al servidor solo llega el nombre de dominio que escribes, y desde ahí se conecta a ese host público. No se sube ningún archivo, y tu propia conexión no se examina ni se guarda.