Certificado SSL vencido: mi web dice «no es seguro»

Qué está diciendo el navegador y qué no está diciendo

El candado de la barra de direcciones no certifica que un sitio sea confiable, ni que la empresa sea seria, ni que no haya un virus adentro. Certifica dos cosas mucho más modestas: que la conversación entre el navegador y el servidor va cifrada, y que alguien verificó que ese servidor es el que dice ser para ese dominio. Esa verificación tiene fecha de vencimiento. Cuando la fecha pasa, el navegador no tiene forma de saber si sigue siendo cierta, y como no puede saberlo, avisa.

Leer el detalle

Por eso el mensaje no dice «este sitio está infectado»: dice, con distintas palabras según el navegador, «no puedo comprobar que esto sea lo que dice ser». Es la diferencia entre un policía que te detiene porque cometiste un delito y uno que te detiene porque tu documento está vencido. El segundo caso también te frena, también es un problema y también hay que resolverlo, pero no significa lo mismo, y confundirlos hace que se contrate el arreglo equivocado y por diez veces el precio.

Lo que sí es serio es el efecto comercial, que es inmediato y silencioso. La pantalla de advertencia ocupa la ventana entera, está escrita para asustar y la mayoría de la gente no aprieta «continuar de todos modos»: se va. No hay error en tu servidor, tus productos siguen ahí, tu formulario funciona, y sin embargo esa tarde no entra nadie. Si además el sitio cobra, el problema es peor todavía: nadie carga una tarjeta en una pantalla que le acaba de decir que la conexión no es privada. Por eso, aunque el motivo suela ser banal, no es de las cosas que se pueden dejar para el lunes.

Antes de llamar a nadie, hay una comprobación que sale cero y explica más casos de los que uno esperaría: mirá la fecha y la hora del dispositivo desde el que estás mirando. Si el reloj de tu computadora o de tu teléfono está mal —pasa después de un cambio de batería, de un viaje o de una configuración manual—, el navegador compara el certificado contra una fecha equivocada y te muestra el mismo cartel aunque el sitio esté perfecto. La forma rápida de descartarlo: pedile a alguien en otra red, con otro dispositivo, que abra tu sitio. Si a esa persona le abre bien, el problema es tuyo y no del sitio.

El texto chico del cartel es el diagnóstico

Debajo del título grande, casi siempre en gris y en letra chica, hay un código o una frase técnica. Ese renglón que nadie lee es el que dice cuál de los seis problemas tenés, quién lo tiene que arreglar y cuánto va a costar. Sacale una foto antes de cerrar la ventana.

01

Habla de fechas: el certificado venció

El renglón menciona una fecha, o dice que el certificado expiró o todavía no es válido —en algunos navegadores aparece como ERR_CERT_DATE_INVALID—. Es el caso más común y el más barato: la renovación automática dejó de correr y nadie lo notó. Lo arregla quien administra el alojamiento o la plataforma, normalmente en minutos, y en la mayoría de las configuraciones actuales no tiene costo porque el certificado es gratuito. Si tu sitio está en una plataforma de tienda o en un servicio administrado, muchas veces alcanza con volver a guardar la configuración del dominio para que se vuelva a emitir.

02

Habla de nombres: el certificado es de otro dominio

El renglón dice que el certificado no coincide con el nombre del sitio, o menciona otro dominio distinto al tuyo. Traducido: el certificado existe y está vigente, pero se emitió para otra dirección. Los dos casos típicos son de manual y los vemos todo el tiempo: el certificado se emitió para tudominio.com.uy y la gente entra por www.tudominio.com.uy, o al revés; o el sitio se mudó a un subdominio nuevo que nunca se incluyó. No es una falla del certificado sino de la lista de nombres que cubre, y se resuelve reemitiéndolo con todos los nombres adentro.

03

Habla de la autoridad: nadie reconoce a quien lo firmó

El renglón dice que la autoridad emisora no es de confianza o que el certificado es autofirmado. Suele aparecer cuando alguien puso un certificado hecho a mano para «sacar el cartel» de apuro, o cuando el sitio quedó sirviendo el certificado del servidor y no el del dominio. Se ve idéntico al caso 1 para el visitante y es distinto para quien lo arregla. También aparece, y conviene descartarlo primero, cuando quien mira el sitio está en la red de una empresa que inspecciona el tráfico: ahí el problema no es tuyo, es de esa red.

04

No hay cartel de página completa, pero el candado está tachado

El sitio abre, se ve bien, y aun así el navegador muestra un aviso al lado de la dirección. Es el caso del contenido mixto: la página se sirve segura, pero adentro pide alguna pieza —una imagen, una tipografía, un video, un script— por el camino viejo y sin cifrar. El navegador no bloquea la página entera, pero le baja la categoría. Es el más molesto de encontrar porque no está en la configuración del servidor sino adentro del contenido, muchas veces en una sola imagen cargada a mano hace años. Y es típico de sitios que pasaron a seguros sin revisar lo que ya tenían escrito adentro.

05

Dice «no es seguro» siempre, sin cartel rojo ni códigos

No hay advertencia de pantalla completa: simplemente, al lado de la dirección, dice permanentemente que el sitio no es seguro. Eso no es un certificado vencido: es un sitio que nunca tuvo certificado y sigue viviendo en el camino sin cifrar. Hoy es un problema mayor de lo que era, porque los navegadores lo marcan de forma cada vez más visible y porque cualquier formulario que envíes por ahí viaja sin protección. Si tu sitio está así, no necesitás una renovación: necesitás activarlo por primera vez, y en la mayoría de los alojamientos actuales eso es una configuración, no una compra.

06

El mensaje habla de sitio engañoso o peligroso

Este es el único de la lista que no es un problema de certificado y el único que sí es grave. Si la pantalla habla de sitio engañoso, contenido peligroso o software malicioso, no estás ante una renovación vencida: estás ante una marca del buscador por sospecha de intrusión, y la ruta es otra. Ahí lo primero no es tocar nada sino averiguar qué pasó y desde cuándo. Un síntoma que lo delata: además del aviso, el sitio empezó a mostrar páginas o enlaces que nadie de la empresa escribió. Si es tu caso, empezá por mi sitio no aparece en Google, que explica cómo se comprueba y qué se hace en ese escenario.

«Pero si se renovaba solo» — y es cierto, hasta que dejó de hacerlo

Es la frase que escuchamos siempre, y no es un error de memoria: efectivamente se renovaba solo. Los certificados gratuitos que hoy usa la mayoría de los sitios duran poco —del orden de unos meses, no de años— justamente porque están pensados para renovarse de forma automática y frecuente. Eso funciona muy bien y por eso nadie piensa en el tema durante años. El problema es el otro lado de la misma moneda: cuando ese proceso automático se rompe, no se entera nadie, y la vigencia se termina en semanas.

Leer el detalle

Motivo uno: el sitio se mudó y la renovación se quedó en la casa vieja. Es el más frecuente. Cuando se cambia de alojamiento, o se apunta el dominio a otro servidor, el mecanismo que renovaba el certificado sigue configurado del lado viejo y ya no puede comprobar que el dominio es tuyo. Durante un tiempo no pasa nada, porque el certificado emitido antes de la mudanza sigue vigente. El cartel aparece semanas después, cuando ya nadie relaciona una cosa con la otra, y esa distancia entre la causa y el síntoma es la razón por la que estos casos se diagnostican mal.

Motivo dos: se cortó el servicio que lo sostenía. Venció la tarjeta con la que se pagaba el alojamiento, se suspendió la cuenta, se dio de baja un servicio intermedio, o el certificado era pago y su renovación anual quedó en un correo que nadie contestó. Acá el certificado es solo el primer síntoma visible de algo más grande, y conviene mirarlo así: si se cortó por falta de pago, atrás vienen el sitio suspendido y, si nadie interviene, el vencimiento del dominio. El orden de esa caída, tramo por tramo, está contado en el que me hizo la web no contesta.

Motivo tres, y es el que más bronca da: el aviso llegó y no lo leyó nadie. Los servicios avisan antes de que un certificado venza, pero avisan por correo, y ese correo va a la casilla que figura en la cuenta. En un porcentaje enorme de las PYMES, esa casilla es la del proveedor que armó el sitio hace seis años, la de un empleado que ya no está o una dirección genérica que nadie abre. El sistema hizo todo bien; el mensaje cayó en un buzón sin dueño. Es exactamente el mismo patrón que explicamos en perdí el acceso a mi página web: el problema no es técnico, es de titularidad.

De ahí sale la única prevención que sirve de verdad, y no cuesta plata: que las cuentas del dominio, del alojamiento y de la plataforma estén a nombre de la empresa y con un correo que alguien de la empresa lea todos los días. Es una tarde de trabajo administrativo, se hace una sola vez, y evita la mitad de los casos de esta página.

Seis pasos que podés dar sin contratar a nadie

En orden y sin apuro. Los tres primeros son gratis y descartan la mitad de los casos; los tres siguientes sirven para que, si tenés que llamar a alguien, la conversación dure diez minutos en vez de tres días.

01Sacale una foto al cartel, con el renglón chico incluido. Ese texto es el diagnóstico y desaparece apenas cerrás la ventana. Si podés, hacelo desde una computadora y desde un teléfono con datos móviles: si el mensaje es distinto en cada uno, ya sabés algo.
02Revisá la fecha y la hora de tu dispositivo. Es la causa más tonta y una de las más frecuentes. Si el reloj está mal, el navegador compara contra una fecha equivocada y muestra el mismo cartel con el sitio sano.
03Pedile a alguien de otra red que lo abra. Otro dispositivo, otra conexión, preferentemente fuera de la oficina. Si a esa persona le abre bien, el problema no está en el sitio sino en tu equipo o en tu red. Es información que vale oro y no cuesta nada.
04Probá las dos direcciones, con y sin www. Si una abre bien y la otra tira el cartel, tenés el caso 2 —un certificado que no cubre todos los nombres— y ya sabés exactamente qué pedir.
05Averiguá quién administra el alojamiento y quién el dominio. Son dos cosas distintas y muchas veces están en manos distintas. El certificado casi siempre lo resuelve quien administra el alojamiento o la plataforma, pero para reemitirlo puede necesitar tocar algo del dominio.
06Buscá el aviso en el correo, incluido el correo viejo. Buscá por el nombre de tu dominio en la casilla de la empresa y, si podés, preguntale al proveedor anterior si le llegó a él. Ese mensaje suele traer el nombre del servicio que hay que tocar, que es el dato que falta en el noventa por ciento de estos casos.

Lo que no hay que hacer con el cartel puesto

Casi todas nacen del apuro por sacar el cartel de encima, y varias dejan un problema más caro que el original.

Enseñarles a tus clientes a apretar «continuar de todos modos». Es lo peor de la lista. Estás entrenando a la gente que te compra a ignorar exactamente la advertencia que un día la va a proteger de una estafa que use tu nombre. Y no resuelve nada: la mayoría igual se va.
Publicar «el sitio funciona igual, es un aviso del navegador». Puede ser cierto y sigue siendo mala idea. Le estás pidiendo a un desconocido que confíe en tu palabra por encima de lo que le dice su propio navegador, y encima dejás por escrito que sabías del problema.
Comprar un certificado caro para «que sea más seguro». Salvo casos muy particulares, el cifrado no mejora por pagar más. Si tu problema es una renovación caída, un certificado pago no lo arregla: lo tapa por un año y vuelve.
Sacar el sitio del camino seguro para que deje de avisar. Suena a solución y es un retroceso: pasás del caso 1, que se arregla en minutos, al caso 5, que te deja marcado como no seguro de forma permanente y castiga el posicionamiento.
Aprovechar el momento para rehacer todo. Rehacer un sitio con el certificado vencido es empezar una obra con la puerta de calle tapiada. Primero se levanta la persiana, después se decide si conviene remodelar.
Frenar el pago del alojamiento para presionar al proveedor que no contesta. El que pierde no es él: es tu sitio y, si se estira, tu dominio. Cualquier reclamo se hace con el servicio arriba.

Qué hacemos nosotros y qué te podés ahorrar

Somos una empresa uruguaya de soporte tecnológico para PYMEs y trabajamos con empresas de Montevideo, Canelones, Maldonado, Salto, Paysandú y Colonia. Lo primero que te vamos a decir es lo que ya está escrito arriba: si tu caso es el 1 y tenés a quién pedirle que renueve el certificado, pedíselo y no nos contrates. Es un trabajo de minutos y en la mayoría de las configuraciones actuales no tiene costo de licencia. Cobrar por eso sería aprovecharse de un susto.

Leer el detalle

Donde sí tiene sentido llamarnos es cuando el cartel es la punta de otra cosa: no sabés quién administra el alojamiento, el que lo hizo no contesta, el sitio se mudó y quedó a medio mudar, o el aviso viene acompañado de otros síntomas. Ahí hacemos la revisión, que cuesta USD 90 + IVA y termina en un informe escrito que queda para vos, sirva o no para contratarnos: miramos el estado del certificado y de qué nombres cubre, dónde vive realmente el sitio, quién figura como titular del dominio, si el contenido mixto está adentro de las páginas y en qué estado general está todo lo demás. Con eso sabés qué hay que hacer y quién lo tiene que hacer, aunque no seamos nosotros.

Después hay dos caminos y los dos se cotizan por caso: reparar —reemitir el certificado con todos los nombres, ordenar la mudanza que quedó por la mitad, limpiar el contenido mixto, recuperar los accesos que falten— o rehacer sobre algo más limpio, cuando el informe muestra que sostener lo que hay cuesta más que empezar de nuevo. Ninguno de los dos entra por nuestros precios de diseño, y el porqué está en cuánto cuesta arreglar una página web rota. Si el sitio directamente no abre, el orden está en mi web no abre.

Y la parte aburrida que evita la próxima: en nuestro plan de soporte y mantenimiento, el vencimiento del certificado, el del dominio y el del alojamiento están vigilados, y los avisos llegan a una casilla que alguien lee. Es literalmente para lo que sirve un abono de mantenimiento, y es lo que hace que esta página no le pase dos veces a la misma empresa. Escribinos cualquier día y a cualquier hora, por WhatsApp o a comercial@biomadigital.com: te respondemos apenas lo vemos.

Un último deslinde, porque es la confusión más frecuente con esta página: si el aviso no aparece en la barra de direcciones sino en los resultados de búsqueda, o como una pantalla completa antes de entrar, no es el certificado. Ahí el problema es de contenido inyectado y se trata distinto: está en web hackeada: qué hacer primero.

Te contesta alguien en hora de Montevideo

Mandanos la foto del cartel.

Con el renglón chico, tu dirección y si el sitio se mudó hace poco alcanza para ubicar el caso. Si es de los que se arreglan pidiéndoselo a quien ya tenés, te lo decimos y no te cobramos nada. Escribinos cualquier día y a cualquier hora: te respondemos apenas lo vemos.

Sin compromiso
Te respondemos por WhatsApp
Si no te conviene contratar, te lo decimos

Preguntas del cartel rojo

Mi web dice «no es seguro». ¿Me hackearon?

Casi seguro que no. En la gran mayoría de los casos el mensaje significa que el navegador no puede verificar la identidad del sitio: el certificado venció, es de otro dominio o lo firmó alguien que no reconoce. Ninguna de las tres cosas implica que haya entrado nadie. La excepción, y es la única grave de la lista, es cuando la pantalla habla de sitio engañoso, contenido peligroso o software malicioso: eso no es un certificado, es una marca por sospecha de intrusión y se trata de otra manera. La forma de distinguirlos es leer el renglón chico del cartel, que es el que dice de cuál de los dos casos se trata.

Se venció el certificado de mi sitio. ¿Cuánto cuesta arreglarlo?

Si tenés a quién pedírselo, no debería costarte nada: en la mayoría de las configuraciones actuales el certificado es gratuito y renovarlo lleva minutos para quien administra el alojamiento o la plataforma. Te lo decimos aunque nos deje sin el trabajo, porque cobrar por eso sería aprovecharse de un susto. Donde sí hay trabajo real es cuando no sabés dónde vive tu sitio, quién lo administra o el que lo hizo no contesta: ahí la revisión completa cuesta USD 90 + IVA y termina en un informe escrito que queda para vos, y lo que venga después se cotiza por caso.

Si se renovaba solo, ¿por qué se venció ahora?

Porque la renovación automática se rompió y ese tipo de falla no avisa. Los tres motivos que vemos son siempre los mismos. Uno: el sitio se mudó de servidor y el mecanismo que renovaba quedó configurado del lado viejo, así que el cartel aparece semanas después de la mudanza, cuando ya nadie relaciona una cosa con la otra. Dos: se cortó el servicio que lo sostenía, por una tarjeta vencida o una cuenta suspendida. Tres: el aviso previo sí llegó, pero a la casilla del proveedor que armó el sitio hace años o a una dirección genérica que no abre nadie.

Mi sitio abre bien pero el candado aparece tachado. ¿Qué es eso?

Es contenido mixto: la página se sirve por el camino seguro, pero adentro pide alguna pieza —una imagen, una tipografía, un video, un script— por el camino viejo y sin cifrar. El navegador no bloquea la página, pero le baja la categoría y muestra el aviso. Es el caso más molesto de encontrar porque no está en la configuración del servidor sino adentro del contenido, a veces en una sola imagen que alguien pegó a mano hace años. Es típico de sitios que pasaron a seguros sin revisar lo que ya tenían escrito adentro, y se resuelve corrigiendo esas direcciones una por una.

Entro con www y anda, sin www no. ¿Por qué?

Porque el certificado se emitió para una lista de nombres y esa lista no incluye los dos. Es un caso de manual: el certificado existe y está vigente, pero está a nombre de una dirección y la gente entra por la otra. Para el visitante se ve igual de feo que un certificado vencido; para quien lo arregla es otra cosa, porque no hay que renovar nada sino reemitir el certificado con todos los nombres adentro. Vale la pena probar las dos direcciones antes de llamar a nadie: si una abre bien y la otra no, ya sabés exactamente qué pedir y la conversación dura diez minutos.

¿Puedo decirles a mis clientes que sigan igual, que el sitio está bien?

Mejor no, y es la recomendación más firme de esta página. Enseñarle a la gente que te compra a ignorar una advertencia de seguridad es entrenarla para caer en la próxima estafa que use tu nombre. Además no funciona: la mayoría no aprieta «continuar de todos modos», se va, y si el sitio cobra, nadie carga una tarjeta en una pantalla que le acaba de decir que la conexión no es privada. Publicar un aviso diciendo que el problema es del navegador es peor todavía, porque le pedís a un desconocido que confíe en tu palabra por encima de la de su propio navegador y dejás por escrito que sabías.

El cartel lo veo solo yo. ¿Está roto el sitio?

Probablemente no. Hay dos causas habituales de que el problema sea solo tuyo y las dos son gratis de descartar. La primera es el reloj: si la fecha y la hora de tu computadora o de tu teléfono están mal, el navegador compara el certificado contra una fecha equivocada y muestra la advertencia aunque el sitio esté perfecto. La segunda es la red desde la que estás mirando, porque algunas redes de empresa inspeccionan el tráfico y eso puede disparar el mismo aviso. La prueba rápida: pedile a alguien en otra red y con otro dispositivo que abra tu sitio. Si a esa persona le abre bien, el problema no está en el sitio.

¿Cómo evito que me vuelva a pasar?

Con una tarde de trabajo administrativo que no cuesta plata y con un abono si querés dejar de pensar en el tema. Lo administrativo: que las cuentas del dominio, del alojamiento y de la plataforma estén a nombre de la empresa, con una tarjeta que no venza pronto y con un correo de contacto que alguien de la empresa lea todos los días. Eso solo evita la mitad de los casos, porque el aviso previo existe y lo único que falla es a dónde llega. Lo otro es contratar mantenimiento: en nuestro plan, los vencimientos del certificado, del dominio y del alojamiento están vigilados, y va desde USD 150/mes o USD 850/año + IVA.

Hasta dónde llega lo que hacemos

Bioma es una empresa de soporte tecnológico para PYMEs que hace rescate técnico. No somos una empresa de seguridad informática, no hacemos peritajes forenses y no intervenimos en disputas de titularidad: si tu caso terminó en un conflicto con un proveedor, dejamos el estado técnico documentado por escrito para que lo use tu abogado. Tampoco damos asesoría legal ni de cumplimiento normativo sobre protección de datos: lo nuestro es que la parte que vive en la web esté sana y la pueda operar tu equipo. Y ningún proveedor serio te va a pedir la contraseña de tu banco, de tu correo personal o de tus redes personales para revisar un certificado.

Leer el detalle

Los mensajes, los códigos de error y las pantallas de advertencia cambian de un navegador a otro y de una versión a otra, así que lo que está escrito acá son mecanismos generales y no instrucciones de una pantalla concreta: verificá siempre contra la documentación oficial vigente de tu navegador y de tu proveedor de alojamiento. No hay en esta página plazos garantizados, porcentajes de casos ni promesas de recuperación; los únicos números son nuestros precios. Última actualización: 9 de setiembre de 2026.