Un certificado SSL gratis, como los de Let's Encrypt, cifra la conexión igual que uno de pago. Pagar compra otras cosas. Los certificados más exigentes comprueban quién es la empresa, y los de pago más sencillos, que validan solo el dominio como Let's Encrypt, pueden añadir soporte y una garantía. Para la web de una pyme o de un autónomo, el gratuito es lo normal. Lo que hay que vigilar es la fecha. Ningún certificado público emitido desde el 15 de marzo de 2026, sea gratis o de pago, puede durar más de 200 días[1]. Por eso conviene saber si el tuyo se renueva solo.
Let's Encrypt firma el certificado del 64,3 % de las webs que analiza W3Techs, y en esa misma medición el 0,6 % lo tiene caducado[2]. Es el fallo que deja una web entera detrás de un aviso del navegador, y puede pasarle a cualquier certificado.
Qué cambia entre un certificado SSL gratis y uno de pago
Un certificado SSL (el protocolo hoy se llama TLS, pero el nombre antiguo se ha quedado) hace dos cosas. Cifra lo que viaja entre el navegador y tu web, y acredita que esa dirección la controlas tú. En lo primero no hay diferencia. Las normas del CA/Browser Forum, que siguen todas las autoridades de certificación, solo admiten claves RSA de 2048 bits o más y tres curvas elípticas concretas, también en los de pago[1]. Let's Encrypt trabaja dentro de esa lista[3].
La diferencia está en cuánto comprueba la autoridad antes de firmarlo:
- Validación de dominio (DV)
- Solo comprueba que controlas el dominio. Es el único tipo que emite Let's Encrypt, que no ofrece los otros sobre todo porque no puede automatizar su emisión[4]. También hay DV de pago: comprueban lo mismo, y GlobalSign, por ejemplo, los vende con soporte por teléfono, correo y chat y con una garantía[5].
- Validación de organización (OV)
- La autoridad verifica también la identidad y la dirección de la empresa, con documentos de un organismo público, una base de datos fiable o una visita, entre otras vías. Su nombre va escrito dentro del certificado[1].
- Validación extendida (EV)
- Es la comprobación más exigente. Chrome enseñaba el nombre de la empresa a la izquierda de la dirección hasta la versión 77. Entonces lo pasó al panel de información del sitio, porque ese indicador no protegía a los usuarios como se pretendía[6]. Safari había hecho un cambio parecido en 2018[6].
A simple vista, tu visitante no distingue uno gratuito de uno de pago. Ni siquiera el candado dice ya gran cosa sobre quién hay detrás, como contamos en cómo saber si una web es segura.
Un certificado OV o EV no cifra más que uno gratis. Comprueba más cosas sobre quién lo pide.
Cuándo tiene sentido pagar un certificado SSL
Pagar compensa en pocos casos, y ninguno tiene que ver con el cifrado:
- Te lo exige una norma o un cliente
- La Ley 40/2015 exige a las sedes electrónicas de las administraciones identificarse con certificados reconocidos o cualificados de autenticación de sitio web, o un medio equivalente (artículo 38.6)[7]. Cuando un cliente o un contrato piden un certificado OV o EV, Let's Encrypt no sirve[4].
- Necesitas que alguien te conteste
- Let's Encrypt lo lleva un equipo pequeño que no da soporte directo y remite a su documentación y a su foro[4]. Es el caso en que un DV de pago tiene sentido aunque no compruebe nada más.
- Tu servidor no sabe renovarlo solo
- Sin renovación automática en el panel o en el servidor, toca instalarlo a mano. Uno de pago puede durar hasta 200 días[1], frente a los 90 de Let's Encrypt[4], así que lo cambiarás menos veces: casi dos al año, y más de tres desde marzo de 2027, cuando el máximo baje a 100 días[1].
Hay un caso intermedio: algunos hostings cobran una pequeña cantidad por el certificado gratuito, que según Let's Encrypt refleja lo que les cuesta administrarlo[4].
Tampoco hace falta pagar por un comodín (un certificado para todos los subdominios, del tipo *.tudominio.es) ni por uno que cubra varios dominios: Let's Encrypt emite los dos. Para el comodín pide demostrar que controlas el DNS del dominio (la comprobación DNS-01)[4].
Por qué un certificado ya no dura un año, aunque lo pagues
Durante años, un argumento para comprar era la comodidad. Un certificado de pago podía durar hasta 398 días[1], frente a los 90 de Let's Encrypt[4], y bastaba con acordarse una vez al año. En abril de 2025, el CA/Browser Forum aprobó recortar la duración máxima de todos los certificados públicos, con el voto a favor de Apple, Google, Microsoft y Mozilla[8]. El calendario ya está en sus normas[1]:
Let's Encrypt también acorta los suyos, a 64 días desde el 10 de febrero de 2027 y a 45 desde el 16 de febrero de 2028[9]. Con esos plazos, renovar a mano deja de tener sentido para cualquier certificado, y la propia Let's Encrypt lo desaconseja[9].
Qué pasa el día que caduca el certificado
La web sigue ahí, pero el navegador la tapa con un aviso de certificado caducado. Normalmente el visitante puede saltárselo, salvo si la web usa HSTS (una cabecera que obliga a entrar siempre por HTTPS); entonces el navegador no le deja pasar[3]. En Chrome, el aviso ocupa toda la página, con el mensaje «La conexión no es privada»[10]. Quien no te conoce tiene pocos motivos para seguir adelante, y los formularios y los pagos se quedan detrás hasta que alguien instala un certificado nuevo.
Le pasa hasta a Microsoft. La mañana del 3 de febrero de 2020, Teams dejó de funcionar porque había caducado un certificado de autenticación, según el aviso de Microsoft que recogió TechCrunch[11].
También ha cambiado quién te avisa. Let's Encrypt mandaba un correo antes de la caducidad a quien le había dejado su dirección, y dejó de hacerlo el 4 de junio de 2025[12]. Con sus certificados, ese aviso ya solo llega si te lo da tu hosting o si te pones una alarma.
Sin humo: con un certificado gratuito no pierdes seguridad. Sale caro enterarte por un cliente de que no se renovó y de que la web lleva días tapada.
Cómo comprobar que tu certificado se renueva solo
Los cuatro primeros pasos se miran sin tocar el servidor:
- Abre el certificado en el navegador. Pulsa el icono que hay a la izquierda de la dirección[10], entra en la información de la conexión y abre el certificado. Verás quién lo emite y entre qué fechas es válido. Lo normal es que se renueve cuando le queda un tercio de su duración[9][13]. Bastante menos, como tres semanas en uno de 90 días, indica retraso.
- Busca tu dominio en los registros públicos. Let's Encrypt publica cada certificado en varios registros de Certificate Transparency[4], donde cualquiera puede ver qué autoridad emitió qué certificado, cuándo y para qué dominio[14]. Buscadores gratuitos como crt.sh, de Sectigo, enseñan esa lista[15]. Uno nuevo cada dos tercios de la vida del anterior indica que la renovación funciona.
- Entra en el panel del hosting. En cPanel, la pantalla SSL/TLS Status filtra los dominios con el certificado caducado, los que caducan pronto y los que tienen problemas con AutoSSL[16]. Junto a cada dominio enseña, si lo hay, el error de AutoSSL[16]. En otro panel, busca un apartado parecido.
- Ponte una alarma. Let's Encrypt recomienda Red Sift Certificates Lite, que vigila gratis hasta 250 certificados, y enumera otros servicios, como UptimeRobot[17]. Sirven para recibir el aviso de caducidad que Let's Encrypt ya no manda[17].
- Con servidor propio, ensaya la renovación. La mayoría de instalaciones de Certbot traen la renovación automática configurada, y la orden certbot renew --dry-run la prueba sin guardar ningún certificado[13].
Cuando una renovación falla, lo que solemos ver es que se tocó algo después de instalarlo. El dominio se apuntó a otro sitio al cambiar los DNS, o una regla del servidor bloquea la comprobación. La más habitual, la HTTP-01, solo funciona por el puerto 80[18], y una regla que lo cierre la rompe.
Con el certificado ya caducado, primero se arregla la causa, con el error del paso 3 como pista. Después, AutoSSL lo vuelve a intentar cada noche, y quien administra el servidor puede lanzarlo al momento desde WHM[19]. En un servidor propio, certbot renew intenta renovar todo certificado al que le quede menos de un tercio de vida, así que también uno caducado[13].
Al cambiar de hosting o de DNS, revisa el certificado ese mismo día; lo explicamos en la diferencia entre dominio y hosting. Para una web nueva, pide que el certificado venga configurado y vigilado desde el principio; en un proyecto de diseño web es parte del trabajo.
Dudas rápidas
¿Es seguro un certificado SSL gratis?
Sí. Cifra igual que uno de pago, porque las normas del sector exigen las mismas claves a todos[1]. No verifica quién es la empresa, solo que quien lo pide controla el dominio[4].
¿Cuánto dura un certificado de Let's Encrypt?
90 días por defecto, y Let's Encrypt recomienda renovarlo a los 60[4]. Desde el 10 de febrero de 2027 durará 64 días, y desde el 16 de febrero de 2028, 45[9].
¿Qué pasa si caduca el certificado SSL?
El navegador avisa al visitante de que el certificado ha caducado y, si la web usa HSTS, no le deja pasar[3]. Let's Encrypt ya no manda un correo antes de la fecha[12].
¿Un certificado de pago mejora el SEO?
Nada indica que sí. Cuando Google anunció en 2014 que usaría HTTPS como factor de posicionamiento, lo definió como muy ligero[20]. Sus consejos se fijaban en qué dominios cubre el certificado y en la clave, no en si es gratis o de pago[20].
¿Cómo consigo un certificado SSL gratis?
Empieza por el panel de tu hosting. En cPanel se llama AutoSSL, y por defecto usa Let's Encrypt, que viene incluido en la licencia sin coste[19]. Con servidor propio, Let's Encrypt aconseja empezar por Certbot[4].
Fuentes
[1] CA/Browser Forum. (2026, 4 de octubre). Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates, versión 2.3.1, apartados 3.2.2.1, 6.1.5, 6.3.2 y 7.1.2.7.4 (en inglés). enlace
[2] W3Techs. (2026, 5 de octubre). Usage statistics and market shares of SSL certificate authorities for websites, consultada el 5 de octubre de 2026 (en inglés). enlace
[3] Let's Encrypt. (2025, 23 de junio). Integration Guide, apartados «Supported Key Algorithms» y «HTTPS by Default», última actualización de la página, consultada el 5 de octubre de 2026 (en inglés). enlace
[4] Let's Encrypt. (2025, 28 de abril). FAQ, última actualización de la página, consultada el 5 de octubre de 2026 (en inglés). enlace
[5] GlobalSign. Domain Validated (DV) SSL, página de producto, apartados «All GlobalSign SSL Certificates Include» y «Compare All SSL Certificates», consultada el 6 de octubre de 2026 (en inglés). enlace
[6] Chromium. EV UI Moving to Page Info, Chromium Docs, consultada el 5 de octubre de 2026 (en inglés). enlace
[7] Jefatura del Estado. (2015, 1 de octubre). Ley 40/2015, de Régimen Jurídico del Sector Público, artículo 38.6, BOE núm. 236, texto consolidado. enlace
[8] CA/Browser Forum. (2025, 11 de abril). Ballot SC081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods, resumen y resultado de la votación (en inglés). enlace
[9] McPherrin, M. (2025, 2 de diciembre). Decreasing Certificate Lifetimes to 45 Days, blog de Let's Encrypt (en inglés). enlace
[10] Google. Comprobar si la conexión de un sitio es segura, Ayuda de Google Chrome, apartado «Corregir el error "La conexión no es privada"», consultada el 5 de octubre de 2026. enlace
[11] Miller, R. (2020, 3 de febrero). Microsoft Teams has been down this morning, TechCrunch (en inglés). enlace
[12] Aas, J. (2025, 26 de junio). Expiration Notification Service Has Ended, blog de Let's Encrypt (en inglés). enlace
[13] Electronic Frontier Foundation. User Guide, documentación de Certbot, apartados «Renewing certificates», «Automated Renewals» y opción --dry-run, consultada el 5 de octubre de 2026 (en inglés). enlace
[14] Certificate Transparency. Certificate Transparency, portada del proyecto, consultada el 5 de octubre de 2026 (en inglés). enlace
[15] Certificate Transparency. Monitors, lista de buscadores y servicios de vigilancia de los registros, consultada el 5 de octubre de 2026 (en inglés). enlace
[16] cPanel. SSL/TLS Status, documentación de cPanel & WHM, apartados «SSL Statuses» y «Certificate Status», consultada el 5 de octubre de 2026 (en inglés). enlace
[17] Let's Encrypt. (2026, 13 de julio). Monitoring Service Options, última actualización de la página, consultada el 5 de octubre de 2026 (en inglés). enlace
[18] Let's Encrypt. (2026, 12 de febrero). Challenge Types, apartado «HTTP-01 challenge», última actualización de la página, consultada el 5 de octubre de 2026 (en inglés). enlace
[19] cPanel. Manage AutoSSL, documentación de WHM, apartados «Provider information» y «The Let's Encrypt provider», consultada el 5 de octubre de 2026 (en inglés). enlace
[20] Google. (2014, 7 de agosto). HTTPS como factor de posicionamiento, Google Search Central Blog. enlace
¿Sabes cuándo caduca el tuyo?
Miramos tu certificado, cómo se renueva y qué pasaría si fallara, y te lo contamos en claro. Sin compromiso.