- ¿Qué ocurre en la web de un negocio cuando un certificado caduca?
- ¿Por qué deja de funcionar el recordatorio por correo?
- ¿Cómo funcionan las renovaciones de los certificados de seguridad web?
- ¿Cómo ponerle solución a este problema de la forma más sencilla?
- Una solución es crear recordatorios automáticos
Unos 600 millones de páginas web en todo el mundo utilizan certificados de seguridad emitidos por Let’s Encrypt, la mayor autoridad certificadora de internet. Esto equivale a dos de cada tres portales activos (el 63%) que emplean el protocolo digital HTTPS.
Por eso, la noticia de que esta organización (sin ánimo de lucro) ha prescindido de su servicio de notificaciones por correo electrónico sobre la caducidad de los certificados ha encendido no pocas alarmas entre autónomos y pymes, ya no sólo con ecommerce, sino con una simple página web.
Y es que si la web de un autónomo o una micropyme pierde su certificado válido, cuando un visitante acceda a la página recibirá advertencias de seguridad de su navegador. Que le recomendarán no entrar a la misma, con el perjuicio que supone para los negocios que dependen de su presencia online.
Hasta el mes pasado, cuando se deshabilitó el servicio, dichas alertas se enviaban a la dirección de email del responsable del certificado que figure como administrador, con una antelación de 30, 14 y 7 días antes del vencimiento, ayudando a estar pendiente y planificar la renovación. Pues bien, esto ya no va a suceder.
¿Qué ocurre en la web de un negocio cuando un certificado caduca?
Cuando el certificado de una página web (técnicamente, SSL/TLS) supera su fecha de validez, el navegador bloquea la conexión segura y muestra al usuario advertencias muy visibles:
- “Su conexión no es privada” (Chrome).
- “El certificado ha caducado o no es válido” (Firefox).
- “La identidad del sitio web no se ha podido verificar” (Safari).
Estos mensajes incluyen iconos de advertencia, fondos rojos y exhortaciones a “Regresar a la página segura”, que, como es lógico, desalientan cualquier interacción. Para un autónomo o pequeño negocio cuya web es su escaparate principal, que su página funcione de esta forma equivale a pérdida de oportunidades y de confianza inmediata.
¿Por qué deja de funcionar el recordatorio por correo?
El pasado 26 de junio, Let’s Encrypt comunicó que, con efecto retroactivo, había dado por terminado su servicio de notificaciones de expiración. Según Josh Aas, fundador de la ONG Internet Security Research Group (ISRG) que gestiona Let’s Encrypt, los motivos son:
- Automatización consolidada: cada vez más usuarios emplean herramientas automáticas que renuevan los certificados sin intervención manual.
- Privacidad reforzada: almacenar millones de direcciones de correo electrónico supone un potencial riesgo de privacidad.
- Ahorro de costes: el envío de emails representaba “decenas de miles de dólares anuales”, que se destinan ahora a “mejorar otros servicios”.
- Menor complejidad técnica: mantener la infraestructura para procesar las comunicaciones añadía capas de complejidad a la operativa de la organización.
¿Cómo funcionan las renovaciones de los certificados de seguridad web?
La mayoría de proveedores de alojamiento de páginas web en nuestro país (como Webempresa, Raiola Networks, Dinahosting, Arsys, Hostalia…) integran Let’s Encrypt en su panel de control para añadir un certificado gratuito a los portales dados de alta. Así suele funcionar el proceso:
- Instalación al contratar el plan: el panel activa por defecto un certificado a través de Let’s Encrypt para el dominio.
- Renovación automática: cada 60‒80 días, el sistema ejecuta internamente la renovación sin requerir intervención del cliente.
- Notificaciones internas: algunas de estas empresas de servicios web envían avisos desde su propio sistema de mensajería (en el panel o por correo) si detectan errores al renovar.
No obstante, en ocasiones hay que habilitar una opción de “renovación automática” o mantener activas ciertas extensiones del servidor (por ejemplo, en cPanel o Plesk). Si estas se desactivan o se producen fallos de comunicación (por una configuración errónea), el certificado no se renovará y el portal mostrará el error en cuanto expire.
Además, en el caso de que el certificado se instalara originalmente de forma manual sin activar ningún mecanismo automático, el propio autónomo debe encargarse de solicitar y aplicar la renovación cada 90 días.
Esto puede ocurrir si quien configuró la página web lo hizo así, aunque el propietario del negocio puede no saberlo, por lo que es muy fácil que se pase por alto la tarea de la renovación y el portal acabe con el certificado caducado.
¿Cómo ponerle solución a este problema de la forma más sencilla?
Para evitarlo, conviene comprobar el mencionado panel de control del hosting; o bien consultar con el desarrollador o técnico cómo se produce la renovación para no llevarse sorpresas. En realidad, el procedimiento solo implica generar una nueva clave o solicitud de firma (CSR), validar el dominio ante Let’s Encrypt y sustituir el archivo del certificado en el servidor.
Otra recomendación es comprobar de forma periódica el vencimiento del certificado, para no depender únicamente de las alertas del proveedor. Lo que puede hacerse siguiente estos pasos:
- Desde el navegador, hacer clic en el icono del candado o escudo junto a la dirección URL.
- Seleccionar “Certificado” o “Más información”.
- Consultar en la pestaña “Detalles” la línea “Válido hasta: …”.
También existen portales de internet con herramientas gratuitas para hacerlo, como SSL Server Test o SSL Checker, que permiten introducir la dirección de la página y obtener tanto la fecha de vencimiento como otros detalles de seguridad.
Una solución es crear recordatorios automáticos
De forma similar, también existen aplicaciones que monitorizan el estado de cualquier portal en internet y generan avisos automáticos para que los negocios no pasen por alto la renovación cuando corresponda, dos ejemplos de estos servicios son:
- UptimeRobot (gratuito hasta 50 páginas) permite configurar un monitor HTTPS que compruebe diariamente el estado y envíe avisos por correo o Telegram si detecta problemas, incluidos certificados caducados.
- Red Sift Certificates Lite, recomendado por Let’s Encrypt y libre hasta 250 dominios, envía mensajes de email de expiración con antelación configurable.
En todo caso, este problema obliga a autónomos y pymes a reforzar sus procesos de control: no basta con confiar en un mensaje de correo que ya no llegará. Mediante comprobaciones manuales periódicas, aprovechando las funciones de los hosting españoles y/o implantando soluciones de monitorización sencillas, se garantiza que el certificado SSL/TLS se renueve a tiempo.
De lo contrario, la página permanecerá inaccesible para buena parte de los visitantes y dará una imagen de falta de profesionalidad muy difícil de recuperar. Se trata, en definitiva, de un pequeño esfuerzo adicional que mantiene la confianza y la seguridad de cualquier negocio en Internet.
