Comprobador de certificados SSL

Ejecute antes y después de renovaciones, migraciones de CA o incidentes de rate-limit Let's Encrypt. Expiración dentro de treinta días debe activar automatización o reemisión — el comprobador lee fechas not-after en vivo, no recordatorios de calendario.

Tras movimientos CDN u origen, confirme que el edge presenta la lista SAN prevista. Clientes en www mientras el cert solo cubre apex (o al revés) ven avisos pese a curl «funcionando» con trucos Host.

Problemas de completitud de cadena aparecen como fallos Android o Java mientras Safari de escritorio funciona. Inspeccione intermedios en la salida e instale el bundle que documenta su proveedor. DIG en CAA antes de culpar a la CA — CAA restrictivo bloquea emisión hasta corregir DNS.

Cuestionarios de cumplimiento preguntan versión TLS y postura de cifrado. El comprobador reporta protocolos negociados útiles para attestaciones «solo TLS 1.2+» — no sustituto de escaneo PCI ASV.

Respuesta a incidentes MITM compara emisor y serial con archivos buenos que usted mantiene. DN01 muestra solo presentación wire actual — no diffs históricos CT salvo snapshots API propios.

SaaS multi-tenant en wildcard aún debe listar dominios vanity de clientes cuando traen certs BYO — wildcard *.platform.com no cubre tenant.com sin SAN o cert separado.

Flotas IoT con dispositivos long-lived pueden confiar en roots expirados — upgrade TLS 1.3 en servidor rompe firmware legacy; el comprobador en hostname prod documenta lo que ven clientes modernos.

Health checks de load balancer con certs autofirmados en backends no afectan el cert leaf público — mantenga el Comprobador de certificados SSL en VIPs orientados al cliente durante drills de infra.

Renovaciones automatizadas con certbot o acme.sh pueden dejar cadena antigua en CDN mientras el origin ya sirve la nueva — compare Comprobador de certificados SSL en URL pública y panel CDN tras cada emisión.

Subdominios de terceros en CNAME (SaaS email, helpdesk) presentan certs del proveedor — el comprobador confirma lo que ve el cliente final, no lo que usted cree haber delegado en DNS.

Hostname mismatch significa que la lista SAN no incluye la etiqueta de su URL — corrija CNAME/A hacia nombre cubierto o reemita con SAN correctos. Wildcards cubren un nivel (*.example.com) no api.staging.example.com salvo listado.

Certs expirados o not-yet-valid a menudo son clock-skew en servidores — verifique NTP en VMs origin. Automatización de renovación puede fallar si rutas HTTP-01 se rompen por deriva A — Comprobador DNS primero, luego Comprobador de certificados SSL.

Emisor no confiable o cadena incompleta: instale intermedios en origin o CDN, no solo la hoja. Algunos paneles suben solo leaf; browsers cachean AIA que APIs estrictas prohiben.

TLS demasiado bajo: actualice web server o load balancer. Clientes legacy forzando TLS 1.0 pueden seguir fallando tras hardening — decisión de producto distinta de validez del cert.

Falta OCSP stapling no siempre es fatal — algunos clientes fetchean OCSP live. Note stapling en salida al endurecer sitios de alto tráfico.

Validaciones HTTP-01 y TLS-ALPN-01 requieren hosts alcanzables en nombres del CSR. Comprobador DNS confirma A/AAAA antes de troubleshooting SSL — perseguir errores de cadena en IP que ya no le pertenece pierde horas.

Registros CAA restringen qué CAs pueden emitir. DIG o Comprobador DNS en CAA antes de tickets de soporte CA. Tags issue cero significan solo CAs listadas — CAA accidental en plantillas bloquea renovaciones hasta eliminarlo.

HSTS y redirects del Comprobador de cabeceras HTTP reducen fallos http-01 accidentales cuando URLs http deben responder tokens. Mixed content y CSP no cambian validez del cert pero rompen candado — revise cabeceras tras cadena sana.

El Comprobador de certificados SSL de DN01 conecta desde nuestra infraestructura — un pass aquí no garantiza el mismo cert en cada vantage geo en setups multi-CDN. Muestree redes o use panel CDN; no mapeamos presentación edge global.

CAs privadas para mTLS interno no están en trust stores públicos — checker contra hostnames internos aún valida presentación wire para debug ops aunque browsers públicos rechacen el emisor.

Qualys SSL Labs ofrece grades profundos, cipher suites y narrativas CVE — excelente para auditorías trimestrales, más lento para «¿expiró hoy el cert?» DN01 optimiza cadena y SAN rápidos con Comprobador DNS y Comprobador de cabeceras HTTP en un dominio — no reemplaza Labs para scoring exhaustivo.

Monitores uptime revisan expiración semanalmente y alertan on-call. DN01 son snapshots manuales o API sin paging incluido — scope honesto para quien ya tiene monitoring pero necesita lectura rápida en incidentes.

UI candado del navegador oculta detalles de cadena y puede cachear estados. Checker wire-level evita cache del browser para el hostname escrito. No instalamos extensiones ni roots MITM corporate.

Sin badge «A+» falso, sin escaneo de subnets enteras, sin mapas propagación. Lectura leaf-and-chain precisa, ocho idiomas, historial local, API — combine con WHOIS y Blacklist Checker investigando hosts sospechosos.

Calendarios renovación en equipos PKI enterprise rastrean cada SAN — DN01 no los reemplaza. Use nuestro checker cuando on-call necesita verdad wire inmediata en Sev2, luego archive en CMDB existente.

Certificate pinning en apps móviles rompe silenciosamente al rotar leaf sin update app — SSL checker valida TLS público mientras equipos app gestionan pin hashes en releases.

Campos EV rara vez aparecen en stacks DV-heavy — no espere metadata EV salvo que CA y tier realmente emitan EV; foco en SAN y cadena para Let's Encrypt típico.

Proyectos sunset TLS 1.0 deben probar partners legacy tras desactivar protocolos viejos — checker documenta handshake moderno mientras partners actualizan clientes.

Certs autofirmados en staging fallan trust público intencionalmente — use checker para confirmar issuer CN esperado antes de promover keystores a producción.

Logs certificate transparency detectan mis-issuance — DN01 no busca CT; wire check complementa pero no reemplaza productos CT.

Monitorización CT tipo crt.sh detecta emisión sorpresa — DN01 complementa con lectura wire inmediata cuando CT alerta pero operaciones necesitan confirmar cadena live.

Balanceadores F5 o Citrix pueden servir certs distintos por SNI — pruebe cada hostname público; no asuma que un check del apex cubre api.cliente.ejemplo.com.

mTLS entre microservicios usa CAs internas — el Comprobador de certificados SSL en nombres internos ayuda debug aunque navegadores públicos rechacen el emisor.

Rotaciones de emergencia tras compromiso de clave privada exigen revocación y reemisión rápida — archive serial antiguo y nuevo en el ticket junto con salida del comprobador.