El certificado SSL de la web de un despacho ya no dura lo que duraba. Desde el 15 de marzo de 2026, el estándar que siguen los navegadores obliga a renovarlo cada 200 días como máximo, frente a los 398 días de validez que se venían usando hasta ahora. El cambio no es cosmético: quien gestiona el hosting sin fijarse en esta reducción puede encontrarse con el certificado caducado antes de lo que esperaba, y con él, el aviso de «conexión no segura» plantado delante del formulario de contacto.
Un certificado SSL caducado hace que el navegador muestre «la conexión no es privada» antes de que el visitante llegue al formulario de contacto, y desde marzo de 2026 hay que renovarlo, como máximo, cada 200 días: la validez de 398 días ya no vale para los certificados nuevos.
La validez del certificado SSL se acorta
El calendario lo fijó el CA/Browser Forum, el organismo que reúne a las autoridades de certificación y a los navegadores (Google, Apple, Mozilla y Microsoft entre ellos), que aprobó en abril de 2025 la reducción escalonada de la validez máxima de los certificados TLS. El recorte no llega de golpe:
- Desde el 15 de marzo de 2026: máximo 200 días de validez.
- Desde el 15 de marzo de 2027: máximo 100 días.
- Desde el 15 de marzo de 2029: máximo 47 días.
Un certificado emitido antes de cada corte sigue siendo válido hasta que caduque de forma natural, pero cualquiera solicitado después ya respeta el nuevo límite. La razón no es burocrática: cuanto más dura un certificado, más tiempo queda expuesta una clave privada si se compromete, y un plazo largo también retrasa la corrección de fallos en la validación del dominio. Los navegadores prefieren certificados que se renueven solos, con el protocolo ACME, y no que dependan de que alguien se acuerde de hacerlo una vez al año. Para un despacho que contrató el certificado hace tiempo y no ha vuelto a mirarlo, el margen de descuido se ha reducido a la mitad de golpe, y seguirá reduciéndose cada pocos años.
El aviso de conexión no segura ahuyenta al cliente
Cuando el certificado caduca, Chrome no se limita a un icono discreto en la barra de direcciones: interpone una pantalla completa con el mensaje «la conexión no es privada» y obliga a pulsar «Configuración avanzada» para seguir, un paso que la inmensa mayoría de los visitantes no da. Safari y Firefox muestran advertencias equivalentes. No hace falta que el despacho pierda datos ni sufra un ataque: basta con que nadie haya renovado el certificado a tiempo para que la web deje de generar contactos ese mismo día.
El formulario de contacto es el punto crítico
El daño se concentra donde más duele: el formulario de contacto. Quien va a escribir los primeros detalles de su caso —una herencia, un despido, una denuncia— espera que esos datos viajen cifrados, y un aviso de «no seguro» delante del cuadro de texto es la peor señal posible para alguien que ya está valorando si confiar su situación a un despacho. La fricción técnica que cuesta clientes no es solo cuestión de segundos de carga: un candado roto pesa igual o más, porque ataca la confianza antes de que haya habido ninguna conversación. Conviene revisar el formulario justo después de cualquier cambio de hosting o de dominio: es el momento en el que más certificados se quedan huérfanos, sin nadie que los renueve porque la nueva configuración no heredó la automática del proveedor anterior.
TLS actualizado, no solo el certificado en regla
Renovar el certificado a tiempo no basta si el servidor sigue aceptando versiones antiguas del protocolo que lo sostiene. El INCIBE recomienda a las empresas limitar la configuración a TLS 1.2 y TLS 1.3 y desactivar SSL 2, SSL 3, TLS 1.0 y TLS 1.1, versiones con fallos de seguridad conocidos y publicados que un atacante puede explotar sin necesidad de vulnerar nada más. Mantenerlas activas por costumbre, o porque nadie ha tocado la configuración del servidor desde que se instaló, deja una puerta abierta que no depende de que el certificado esté en vigor.
Versiones de TLS que hay que desactivar
Si el despacho cobra honorarios o provisiones de fondos con tarjeta desde su propia web, el problema deja de ser solo de imagen: TLS 1.0 y 1.1 incumplen los requisitos de PCI DSS para el tratamiento de datos de pago, así que un servidor que los mantenga activos no cumple el estándar exigido a cualquier comercio que procese tarjetas. Comprobarlo no requiere acceso técnico al servidor: basta con introducir el dominio en una herramienta como SSL Server Test y revisar qué protocolos acepta. Si el hosting es compartido y no permite tocar esta configuración, hay que pedirle al proveedor que la actualice, y si se niega, es motivo para revisar el contrato de servicio.
Automatizar la renovación evita el olvido
Los certificados gratuitos de Let’s Encrypt llevan años emitiéndose con una validez de solo 90 días, y funcionan porque casi ningún hosting los renueva a mano: un script comprueba la caducidad y pide uno nuevo automáticamente antes de que llegue. Es el mismo mecanismo, el protocolo ACME, que ahora tienen que adoptar también los certificados de pago que hasta ahora se renovaban una vez al año desde un panel, a menudo por la misma persona que lleva la contabilidad del despacho y no la parte técnica.
Conviene comprobar, no dar por hecho, si el certificado del despacho se renueva solo. La mayoría de los hostings orientados a WordPress lo hacen de serie, pero algunos planes antiguos o migrados desde otro proveedor arrastran certificados que sí requieren un paso manual, la misma clase de descuido que aparece cuando toca decidir si compensa cambiar de hosting. Preguntarlo directamente al soporte técnico resuelve la duda en un correo. Si la respuesta es que hay que pedirlo, conviene anotar la fecha de caducidad en un calendario compartido, no confiar en acordarse.
El candado también es una señal de confianza
El certificado en regla no solo evita el aviso del navegador: es una de las señales, mínimas pero presentes, que se miran al valorar la fiabilidad de un sitio que trata datos personales y asesora sobre asuntos legales. Un despacho encaja en lo que Google trata como contenido YMYL, información que puede afectar al dinero o a la vida de quien la lee, y ahí el criterio no perdona: cualquier detalle que transmita descuido técnico —desde un certificado caducado hasta una web sin actualizar— resta autoridad, aunque el contenido del artículo esté impecable. No es la palanca que más mueve el posicionamiento, pero es la más barata de tener resuelta y la más cara de descuidar: cuesta cero mantenerla en orden y cuesta visitas explicarla cuando falla.
Preguntas frecuentes sobre el certificado SSL
¿Cada cuánto hay que renovar el certificado SSL desde 2026?
Desde el 15 de marzo de 2026 el máximo son 200 días, no el año que permitían los certificados antiguos. El plazo bajará a 100 días en 2027 y a 47 en 2029, así que conviene automatizar la renovación en vez de fijar un recordatorio anual que dejará de servir.
¿Qué pasa si el certificado SSL caduca sin que nadie se dé cuenta?
El navegador bloquea el acceso con una pantalla de aviso y el visitante tiene que forzar la entrada, algo que casi nadie hace. La web deja de recibir contactos ese mismo día, sin que haya habido ningún ataque ni pérdida de datos: basta el aviso para frenar el tráfico.
¿Necesita un despacho un certificado de pago o basta uno gratuito?
El cifrado es idéntico en ambos casos. Los certificados de pago (OV o EV) añaden una validación de la identidad de la empresa, pero los navegadores actuales ya no la muestran de forma visible en la barra de direcciones, así que la diferencia práctica frente a uno gratuito bien configurado es mínima.
¿Quién debe renovar el certificado, el despacho o el hosting?
Depende del contrato: la mayoría de hostings para WordPress lo renuevan solos con Let’s Encrypt, pero conviene confirmarlo por escrito con el proveedor en vez de asumirlo. Si no es automático, hay que anotar la fecha de caducidad y no depender de acordarse un año después.