Qué comprueba la herramienta
Un navegador solo te dice si la conexión funciona. De paso completa en silencio los intermedios que faltan y usa su propio almacén de certificados actualizado. Las apps, los clientes de correo, Java, curl y los móviles antiguos no lo hacen. El comprobador SSL muestra la cadena tal y como la envía tu servidor.
Certificado del servidor
Se comprueba el nombre de host frente al campo SAN (incluidos comodines como *.ejemplo.es), el inicio y el fin de la validez, la longitud de la clave y el algoritmo de firma. Si quedan menos de 30 días, recibes un aviso.
Intermedios y orden
El servidor debe enviar su propio certificado y todos los intermedios hasta justo debajo de la CA raíz, en el orden servidor → intermedio → siguiente intermedio. Si falta un eslabón, la web suele funcionar igualmente en el navegador, pero las apps y los clientes de correo muestran «unable to get local issuer certificate». La CA raíz no hace falta enviarla.
El problema de los Android antiguos
Las CA raíz más nuevas, como GlobalSign Root R46, ISRG Root X2 o las raíces DigiCert G5, solo están en el almacén del sistema desde Android 14 (octubre de 2023). Android 13 y anteriores no las conocen. Una CA raíz enviada por el servidor nunca se acepta como de confianza, así que añadirla no sirve.
La solución es un certificado cruzado: la misma CA con la misma clave, pero avalada por una raíz más antigua que también conocen los dispositivos viejos. Si el servidor envía este certificado cruzado, los dispositivos antiguos llegan a la raíz antigua y los nuevos siguen yendo a la nueva. El comprobador detecta el problema y, con un clic, el conversor de certificados añade a tu cadena el certificado cruzado adecuado de la CCADB de Mozilla.
Servidores de correo y STARTTLS
Para SMTP (puertos 25 y 587), IMAP (143) y POP3 (110) la herramienta se conecta primero en texto plano y luego cambia a TLS con STARTTLS, igual que un cliente de correo. Los puertos con TLS directo, como 465, 993 y 995, se cifran desde el principio.
Revocación, CAA y DANE
La herramienta también consulta el estado de revocación del certificado mediante OCSP o la lista de revocación (CRL) de la CA. Lee el registro CAA del dominio y avisa si el emisor actual no está permitido, porque la próxima renovación fallaría. Si hay un registro TLSA (DANE) para el puerto, comprueba que coincide con el certificado servido y que está protegido con DNSSEC. Puedes crear esos registros con CAA y DANE.
Reparar la cadena
- Ejecuta la comprobación y haz clic en «Reparar en el conversor» o «Completar la cadena en el conversor».
- El conversor toma la cadena, descarga los intermedios que faltan vía AIA y ofrece los certificados cruzados adecuados.
- Añade la clave privada y exporta el formato que necesita tu servidor, p. ej. un bundle PEM para nginx o PFX para IIS.
- Instálalo en el servidor, recarga y vuelve a comprobarlo aquí.
FAQ
¿Por qué mi web funciona en el navegador pero no en la app?
Los navegadores suelen descargar ellos mismos los intermedios que faltan. Las apps, Java, curl y muchos clientes de correo no lo hacen y abortan. El comprobador muestra si tu servidor envía la cadena completa.
¿Tengo que enviar la CA raíz?
No. Los clientes solo confían en la CA raíz de su propio almacén. Enviarla no perjudica, pero cuesta unos cientos de bytes en cada conexión.
¿Por qué Android 13 rechaza mi certificado?
Probablemente tu cadena termina en una CA raíz que solo está en el almacén desde Android 14, como GlobalSign Root R46. Lo soluciona un certificado cruzado que avala la misma CA bajo una raíz más antigua. El conversor lo añade.
¿Puedo comprobar también servidores de correo?
Sí. Elige el puerto, p. ej. 587 o 25 para SMTP con STARTTLS, 465 para SMTPS, 993 para IMAPS o 143 para IMAP con STARTTLS.
¿Qué se guarda?
Nada. El servidor abre la conexión, entrega los certificados a tu navegador y los olvida. Para evitar abusos, el número de comprobaciones por periodo está limitado.