Certificados SSL: gratuitos y de pago
Un certificado gratuito cifra la conexión con la misma solidez que uno de pago: el navegador no los distingue por nivel de protección. La diferencia está en qué comprueba la autoridad de certificación, cuánto dura el certificado y quién se encarga de renovarlo. Según el catálogo de accsly.io (noviembre de 2026), el SSL gratuito figura de forma expresa en 1449 planes de hosting compartido de 178 proveedores. Veamos cuándo basta con eso y cuándo merece la pena comprar un certificado.
La palabra «SSL» viene de un protocolo antiguo: hoy la conexión la protege TLS, y el certificado acredita que la clave de cifrado pertenece al titular del dominio. Sin certificado, el navegador marca la web como no segura, los formularios de acceso y de pago muestran advertencias y los buscadores consideran HTTPS imprescindible para posicionar con normalidad. A continuación verá qué tipos de certificados existen, en qué se diferencian los de pago de los gratuitos y cómo evitar que el certificado caduque en su propio servidor.
DV, OV y EV: qué se comprueba exactamente
Los certificados se clasifican según el tipo de verificación del titular. El cifrado es el mismo en los tres; solo cambia lo que la autoridad de certificación ha confirmado antes de emitirlo.
- DV (domain validation): solo se comprueba que usted controla el dominio, mediante un archivo en la web o un registro DNS. Se emite en minutos y de forma automática. Todos los certificados gratuitos son DV.
- OV (organization validation): además se verifica la empresa: documentos de registro, dirección y teléfono. El nombre de la organización se incluye en el certificado. La emisión tarda de uno a varios días.
- EV (extended validation): la verificación más estricta de la empresa. Antes los navegadores la mostraban con una barra verde con el nombre de la empresa, pero Safari abandonó esa indicación en 2018, y Chrome, desde la versión 77 en 2019, trasladó los datos del EV a la ventana de información del sitio: los estudios mostraron que los usuarios no se fijaban en esa señal.
La conclusión para una web corriente, un blog o una tienda online: un DV es suficiente. Un OV o un EV de pago hace falta cuando lo exige un socio, un banco, las bases de una licitación o la política de seguridad interna, no por el distintivo en el navegador.
Certificados gratuitos: Let's Encrypt y ZeroSSL
Las autoridades de certificación gratuitas emiten certificados mediante el protocolo ACME (RFC 8555): un programa en el servidor valida el dominio, obtiene el certificado y lo renueva por sí solo. La más conocida es Let's Encrypt; otro ejemplo es ZeroSSL, que también emite certificados gratuitos de 90 días mediante ACME, incluidos los wildcard.
La vida corta es la principal diferencia de los certificados gratuitos, y se está acortando aún más. Let's Encrypt emite ahora certificados de 90 días y ha anunciado el paso a 45 días: desde el 13 de mayo de 2026 ese plazo está disponible de forma opcional, desde el 10 de febrero de 2027 el plazo por defecto será de 64 días y desde el 16 de febrero de 2028, de 45. También hay límites de frecuencia de emisión: no más de 50 certificados por dominio registrado y 5 idénticos cada 7 días. A una web normal le sobra margen, y mientras se prueba la configuración conviene usar el entorno de pruebas de la autoridad para no agotar el límite.
Los certificados de pago también dejan de ser anuales. Según la decisión SC-081v3 del CA/Browser Forum, la validez máxima de cualquier certificado público es de 200 días desde el 15 de marzo de 2026, de 100 días desde el 15 de marzo de 2027 y de 47 días desde el 15 de marzo de 2029. Un «certificado de un año» significa ahora una suscripción dentro de la cual habrá que reemitirlo. Por tanto, la automatización es necesaria elija lo que elija, y el argumento de que «el de pago se instala una vez al año y se olvida» ya no sirve.
Cuándo compensa un certificado de pago
- hace falta el nombre de la organización en el certificado, es decir, un OV o un EV a petición de un socio, un proveedor de pagos o un regulador;
- el servidor o el equipo no admite ACME y el certificado hay que instalarlo a mano: una autoridad de pago ofrece soporte y avisos de reemisión;
- la empresa necesita un único proveedor con contrato, factura y documentos para la contabilidad.
Las garantías económicas que prometen las descripciones de los certificados de pago cubren un error de la propia autoridad de certificación al emitirlos, no el hackeo de la web. No conviene elegir un certificado por el importe de esa garantía.
Wildcard y certificados para varios nombres
Un certificado wildcard para *.example.com cubre todos los subdominios de un mismo nivel: shop.example.com, api.example.com. No cubre el propio example.com ni los subdominios de segundo nivel como a.b.example.com: esos se añaden al certificado como nombres aparte.
Let's Encrypt emite wildcard solo con validación por DNS (DNS-01): el programa del servidor tiene que crear un registro TXT en la zona del dominio. Para renovar de forma automática necesita una clave API del proveedor de DNS, y esa clave, guardada en el servidor, permite modificar todos los registros del dominio. Si los subdominios son pocos y se conocen de antemano, es más sencillo emitir un único certificado con la lista de nombres mediante la validación habitual por HTTP. Cómo funcionan los registros DNS se explica en el artículo Dominios y DNS para el propietario de un servidor.
Qué incluyen los planes de los proveedores
En el hosting compartido, del certificado suele encargarse el panel: cPanel, ISPmanager y otros obtienen solos un certificado gratuito para el dominio y lo renuevan. Según el catálogo de accsly.io (noviembre de 2026), el SSL gratuito figura en 1449 planes de 178 proveedores, y solo 47 planes de tres proveedores indican expresamente que no lo incluyen. En total, el catálogo reúne 8998 planes de hosting compartido de 1655 proveedores, y en la mayoría la página del plan simplemente no menciona esta condición, lo que no significa que no haya certificado. Antes de comprar, compruebe si el certificado gratuito cubre todos los dominios y subdominios del plan. Los planes están reunidos en las secciones Hosting para webs y Hosting para WordPress.
En un VPS nadie instala el certificado por defecto: es tarea del propietario del servidor. La excepción son los servidores con panel: ISPmanager, FASTPANEL, aaPanel y similares emiten certificados de Let's Encrypt desde la interfaz; la comparación de paneles está en el artículo Paneles de control de servidor: ISPmanager, FASTPANEL, aaPanel. Los certificados de pago que los proveedores venden como servicio adicional los emiten las mismas autoridades de certificación, así que conviene comparar su precio con el de la propia autoridad.
Certificado en un VPS: certbot y renovación
En un servidor sin panel, lo más sencillo es obtener el certificado con el programa certbot. Para nginx basta un comando: certbot --nginx -d example.com -d www.example.com. Certbot valida el dominio por HTTP, añade el certificado a la configuración y activa la redirección a HTTPS. Los archivos quedan en /etc/letsencrypt/live/example.com/.
La renovación se configura durante la instalación: según la documentación de certbot, la tarea certbot renew se ejecuta dos veces al día y el certificado se reemite cuando le queda menos de un tercio de su validez. Para comprobar que la renovación funcionará, use certbot renew --dry-run, y para ver el temporizador, systemctl list-timers | grep certbot. Si el certificado no lo usa solo el servidor web, sino también, por ejemplo, un servidor de correo, añada --deploy-hook con el comando para recargar ese servicio: de lo contrario seguirá sirviendo el archivo antiguo.
Ya no habrá avisos por correo: Let's Encrypt dejó de enviar correos sobre la caducidad el 4 de junio de 2025. Por eso conviene añadir la fecha de caducidad del certificado a la monitorización; cómo configurarla se explica en el artículo Monitorización de un servidor: disponibilidad, carga y alertas.
Errores frecuentes
- Puerto 80 cerrado. La validación HTTP-01 se hace solo por el puerto 80, así que el cortafuegos debe dejarlo pasar aunque la web funcione solo por HTTPS. Sobre la configuración del cortafuegos, vea el artículo Primeros 10 pasos tras comprar un VPS: seguridad.
- El dominio apunta a otro servidor. Durante una migración, la validación llega a la dirección antigua. El certificado se obtiene después de cambiar los registros DNS o mediante la validación por DNS, como se explica en el artículo Cómo migrar una web del hosting compartido a un VPS.
- Olvidar www o un subdominio. El certificado solo es válido para los nombres que incluye, y el navegador muestra un error en
www.example.comsi solo se emitió paraexample.com. - Cadena incompleta. En la configuración del servidor web hay que indicar
fullchain.pem, nocert.pem: sin el certificado intermedio, algunos dispositivos no abrirán la web. - Contenido mixto. La página se abre por HTTPS, pero las imágenes y los scripts se cargan por
http://: el navegador los bloquea o retira el indicador de seguridad. - HSTS sin comprobar. La cabecera HSTS (RFC 6797) impide al navegador abrir la web por HTTP. Si se activa con un plazo largo e
includeSubDomainsantes de que todos los subdominios tengan certificado, dejarán de estar accesibles para los visitantes durante ese plazo. - Registro CAA. El registro DNS de tipo CAA (RFC 8659) enumera las autoridades autorizadas a emitir certificados para el dominio. Si solo figura una, cualquier otra se negará a emitirlo.