Un certificado SSL (técnicamente TLS desde hace años, aunque la industria sigue usando «SSL» por costumbre) es la pieza que hace que el navegador muestre el candado y que tu web sirva por https://. Sin él, los datos viajan en texto plano entre el navegador y el servidor.
Hoy no tener SSL es directamente un problema: Chrome marca el sitio como «No seguro», Google penaliza en SEO, las pasarelas de pago lo exigen y los gestores de contraseñas avisan al usuario. Esta guía explica los tipos disponibles y cómo decidir qué usar.
Qué protege un certificado SSL/TLS
- Confidencialidad: cifra los datos en tránsito entre cliente y servidor. Nadie en el camino (Wi-Fi público, proveedor de internet, atacante en medio) puede leer el contenido.
- Integridad: detecta si los datos han sido manipulados en tránsito.
- Autenticidad: garantiza que el servidor al que te conectas es realmente el dueño del dominio (no un atacante haciéndose pasar por él).
Lo que NO protege: vulnerabilidades de la aplicación (SQLi, XSS), el servidor en sí, ni la base de datos. SSL/TLS es transporte; el resto sigue siendo responsabilidad tuya.
Tipos de certificado SSL
DV (Domain Validation) — el más común
Verifica solo que controlas el dominio (por DNS o por colocar un archivo de validación). Se emite en minutos. Let’s Encrypt y la mayoría de SSL «gratis» caen aquí. Es suficiente para la gran mayoría de webs corporativas, ecommerce de tamaño pequeño-mediano y aplicaciones SaaS.
OV (Organization Validation) — verifica la organización
Además del dominio, valida que tu organización existe legalmente (Registro Mercantil, CIF). Lo emite una autoridad certificadora previo pago y trámite (días, no minutos). El navegador muestra el certificado normal (candado), pero al inspeccionarlo aparece la empresa.
Útil para webs corporativas que quieren transmitir formalidad ante usuarios técnicos que revisan el certificado.
EV (Extended Validation) — la barra verde clásica
Validación más estricta de la organización. Hace años mostraba la barra verde con el nombre de la empresa en el navegador. Los navegadores eliminaron esa barra hace tiempo: hoy un EV se ve igual que un DV. Sigue existiendo pero su valor visual es nulo y su coste mucho mayor.
Solo tiene sentido en casos muy específicos (banca, requisitos de cumplimiento).
Wildcard, multi-dominio (SAN)
- Wildcard (
*.dominio.com): protege todos los subdominios con un único certificado. Útil cuando hay muchos subdominios cambiantes. - SAN/Multi-dominio: protege varios dominios distintos en un solo certificado. Útil si gestionas varias marcas con la misma infraestructura.
Let’s Encrypt vs certificados comerciales
Let’s Encrypt es una autoridad certificadora gratuita que emite DV con certificados válidos por 90 días, renovables automáticamente (con certbot o el cliente que use tu hosting). Ventajas:
- Gratis.
- Renovación automática estándar.
- Integrado en la mayoría de paneles de hosting (cPanel, Plesk, CyberPanel) y en plataformas cloud.
- Aceptado por todos los navegadores modernos.
¿Cuándo pagar por un certificado comercial?
- Necesitas OV/EV por requisito de cumplimiento.
- Necesitas wildcard de larga duración con garantía contractual de la CA.
- Tienes equipos legacy que no aceptan automatización Let’s Encrypt.
- Quieres SLA y soporte de la autoridad emisora.
Para la mayoría de webs corporativas, Let’s Encrypt cubre el caso.
Qué pasa si no tienes SSL en 2026
- Aviso del navegador: Chrome, Firefox y Safari muestran «No seguro» en la barra de direcciones. Impacto en conversión inmediato.
- SEO penalizado: Google factoriza HTTPS desde 2014. Sin él pierdes posiciones.
- Pasarelas de pago no aceptan: Stripe, Redsys, PayPal no procesan checkout sin HTTPS.
- Cumplimiento RGPD: el tratamiento de datos personales sin transporte cifrado es un incumplimiento.
- Pérdida de confianza: ningún usuario con un mínimo de criterio introduce datos en una web sin candado.
Buenas prácticas
- TLS 1.2 mínimo, idealmente 1.3. TLS 1.0 y 1.1 están deprecated y los navegadores los rechazan.
- HSTS habilitado (
Strict-Transport-Security) para forzar HTTPS en visitas futuras. - Redirect 301 de HTTP a HTTPS en el servidor web (Nginx, Apache) o en el CDN.
- Calificación SSL Labs mínimo A. Si tu config es B o inferior, hay cosas que ajustar (cifrados débiles habilitados, falta de OCSP stapling, etc.).
- Renovación automatizada, sin excepciones. Un SSL caducado es una caída.
¿Te ayudamos con el SSL y la seguridad del servidor?
En Elimática configuramos certificados SSL/TLS, automatizamos renovaciones, securizamos servidores web y auditamos la postura de seguridad completa.