'Su conexión no es privada': lo que realmente significa esta advertencia SSL

Una advertencia de página completa que dice “Su conexión no es privada” está diseñada para detenerlo en seco, y la mayoría de las veces debería hacerlo. Pero la advertencia cubre una amplia gama de causas, desde un certificado caducado inofensivo en un sitio en el que confía hasta un intento activo de interceptar su tráfico. Saber cuál estás viendo cambia lo que debes hacer a continuación.

¿Qué se está comprobando realmente?

Cada sitio HTTPS presenta un certificado SSL/TLS que demuestra dos cosas: que la conexión está cifrada y que realmente estás hablando con el dominio que crees que estás. Su navegador verifica ese certificado con una cadena de confianza antes de cargar la página. Esta advertencia significa que la verificación falló: el navegador se niega a garantizar la conexión hasta que usted decida lo contrario.

La pantalla de advertencia normalmente nombra el problema específico en texto más pequeño: NET::ERR_CERT_AUTHORITY_INVALID, NET::ERR_CERT_DATE_INVALID, NET::ERR_CERT_COMMON_NAME_INVALID o similar. Ese código le indica exactamente qué verificación falló.

Las causas comunes e inofensivas

Un certificado caducado. Los certificados tienen una ventana de validez fija (a menudo, de 90 días a un año) y los propietarios del sitio ocasionalmente no realizan la renovación. Esta es la causa más común y es un error de configuración, no un ataque.

El reloj de su dispositivo está incorrecto. Los certificados solo son válidos dentro de un rango de fechas, por lo que si la fecha de su computadora está desviada aunque sea por un día, todos los certificados pueden parecer no válidos, incluso para sitios con certificados perfectamente buenos. Primero verifique la fecha y hora de su sistema: es una solución de treinta segundos que resuelve una sorprendente parte de estas advertencias.

Una discrepancia entre el dominio y el nombre del certificado. Esto sucede cuando se emitió un certificado para example.com pero estás visitando shop.example.com, o un sitio cambió recientemente de dominio y el certificado no se ha actualizado.

Un certificado interno o autofirmado. Las herramientas internas, los entornos de prueba y los servidores de desarrollo local suelen utilizar certificados que no son emitidos por una autoridad pública. Su navegador los marca correctamente como no verificables, aunque no haya ninguna intención maliciosa.

La causa que debes tomar en serio

Estás en una red que no es de confianza: Wi-Fi pública, una red compartida o detrás de una VPN/proxy que no controlas. Este es el escenario para el que existen las advertencias SSL: alguien en la misma red intercepta el tráfico y presenta su propio certificado para poder leer lo que envías. Si estás conectado a una red Wi-Fi pública en una cafetería o en un aeropuerto y de repente ves esta advertencia en un sitio que normalmente se carga bien, es una verdadera señal para detenerte, no para hacer clic.

Cómo comprobar cuál es

Antes de decidir, repasa esto en orden:

1. Comprueba el reloj de tu sistema. Arréglalo si está mal y luego vuelve a cargarlo. Esto por sí solo resuelve una gran parte de estas advertencias.
2. Pruebe con una red diferente: su teléfono con datos móviles, por ejemplo. Si la advertencia desaparece, la causa fue algo en su red original (un portal cautivo, un proxy o una interceptación genuina), no el sitio en sí.
3. Consulte el sitio desde una fuente independiente. Una verificación SSL del lado del servidor le indicará el emisor real del certificado, la ventana de validez y los días restantes hasta el vencimiento, independientemente de su navegador o red. Si informa un certificado vigente y válido, su advertencia local apunta a un problema de red o de reloj, no al sitio. Si informa que el certificado está caducado o no es válido, el propietario del sitio realmente necesita renovarlo.
4. Mire los detalles del certificado usted mismo. Haga clic en “No seguro” o en el área del candado en su barra de direcciones para ver el emisor y el vencimiento del certificado. Tanto Chrome como Firefox exponen esto sin necesidad de hacer clic primero en la advertencia.

Cuándo es seguro continuar y cuándo no

Si ha confirmado que la causa es un certificado caducado recientemente en un sitio en el que ya confía (el enlace provisional de su banco, una herramienta interna de la empresa, un sitio que ha utilizado durante años y que acaba de tener un problema de renovación), proceder es una decisión con bajo riesgo, ya que la conexión todavía está cifrada; es sólo la verificación la que falló.

No continúe, bajo ninguna circunstancia, si: está ingresando una contraseña, detalles de pago o información personal; la advertencia apareció repentinamente en una red Wi-Fi pública o desconocida; o el error del certificado dice específicamente que el nombre de dominio no coincide (ERR_CERT_COMMON_NAME_INVALID) en lugar de simplemente estar caducado. No se garantiza que los datos que envía en una conexión que el navegador no pudo verificar estén protegidos, y una discrepancia de nombre es la firma clásica de interceptación en lugar de un recibo de renovación.

Si ejecuta el sitio

Renueve el certificado antes de que caduque: la mayoría de los hosts y autoridades de certificación (incluidos los gratuitos como Let’s Encrypt) admiten la renovación automática, lo que elimina toda esta clase de advertencia para sus visitantes. Si acaba de renovar y los visitantes aún ven la advertencia anterior, solicite una actualización completa; Los navegadores almacenan en caché los resultados de la validación del certificado brevemente.

Ejecute una verificación SSL gratuita en su propio dominio periódicamente para ver el emisor, la validez y los días exactos restantes; detectar un vencimiento con una semana de anticipación es mucho menos estresante que averiguarlo a través de la captura de pantalla de un visitante.