Saltar a contenido

Instalando su Certificado SSL

Una vez que la validación de dominio (DCV) se completa y la CA emite el certificado, InteSys entrega los archivos necesarios para la instalación. Buena parte de los problemas de "certificado no confiable" después de la instalación no viene del certificado en sí — viene de una cadena de confianza mal armada.

Qué entrega InteSys

Por cada certificado emitido, usted recibe tres componentes:

Archivo Contenido Extensión común
Certificado El certificado de su dominio, firmado por la CA .crt
Cadena de confianza (CA bundle) Los certificados intermedios que enlazan su certificado con una raíz confiable para los navegadores .ca-bundle
Clave privada Generada en el momento de la solicitud (CSR), nunca compartida con la CA .key

Algunos paneles y balanceadores de carga piden los tres componentes combinados en un único PEM, en este orden: certificado del dominio, seguido de los intermedios de la cadena. InteSys entrega ese archivo combinado cuando el entorno de destino exige ese formato.

Guarde la clave privada con cuidado

La clave privada nunca debe compartirse, enviarse por canales inseguros ni reutilizarse en otro dominio. Si se genera en su propio servidor al momento del CSR (el método recomendado), nunca sale de su entorno — solo el CSR (que no contiene la clave) se envía a la CA.

Por qué importa el orden de la cadena de confianza

Un navegador confía en un pequeño conjunto de certificados raíz, preinstalados en el sistema operativo o en el propio navegador. El certificado de su dominio casi nunca está firmado directamente por una raíz — está firmado por un certificado intermedio, que a su vez está firmado por la raíz.

Raíz confiable (ya en el navegador)
        │
        ▼
Certificado Intermedio (entregado en el CA bundle)
        │
        ▼
Certificado de su dominio (.crt)

Si el servidor no envía el o los certificados intermedios durante el handshake TLS, el navegador puede llegar a armar la cadena por su cuenta (algunos guardan en caché intermedios comunes), pero las herramientas de línea de comandos, las apps móviles y la mayoría de los crawlers de SEO no hacen ese trabajo extra — y reportan el certificado como no confiable, aunque sea legítimo.

Este es, por lejos, el error más común en instalaciones de SSL: certificado correcto, cadena incompleta. El orden en el archivo combinado también importa — invertirlo (intermedio antes que el certificado del dominio) rompe la validación en varios servidores web.

Instalando en Nginx

server {
    listen 443 ssl;
    server_name sudominio.com www.sudominio.com;

    ssl_certificate     /etc/ssl/certs/sudominio_com.crt;       # .crt + .ca-bundle concatenados, en ese orden
    ssl_certificate_key /etc/ssl/private/sudominio_com.key;

    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
}

La directiva ssl_certificate de Nginx espera el certificado del dominio y la cadena intermedia en el mismo archivo, concatenados en ese orden — no existe una directiva separada para el CA bundle.

Instalando en Apache

<VirtualHost *:443>
    ServerName sudominio.com
    ServerAlias www.sudominio.com

    SSLEngine on
    SSLCertificateFile      /etc/ssl/certs/sudominio_com.crt
    SSLCertificateKeyFile   /etc/ssl/private/sudominio_com.key
    SSLCertificateChainFile /etc/ssl/certs/sudominio_com.ca-bundle

    SSLProtocol             TLSv1.2 TLSv1.3
</VirtualHost>

A diferencia de Nginx, Apache acepta el CA bundle como un archivo separado, mediante SSLCertificateChainFile (en versiones más recientes de mod_ssl, SSLCertificateFile también acepta la cadena concatenada — pero usar SSLCertificateChainFile explícitamente evita ambigüedades).

Otros entornos

Paneles de hospedaje (cPanel, Plesk y equivalentes) generalmente piden los tres componentes en campos separados — certificado, clave privada y cadena de certificados — y arman la configuración del servidor automáticamente.

Balanceadores de carga y CDN (AWS ELB/ALB, Cloudflare, HAProxy, etc.) varían bastante en el formato esperado — algunos quieren el PEM combinado, otros los componentes por separado, otros gestionan la cadena internamente. Hable con nuestro soporte si el entorno de destino no está listado aquí; identificamos el formato correcto para su caso.

Cómo verificar que la instalación quedó correcta

Después de instalar, confirme que la cadena está completa y que no queda ninguna advertencia de confianza usando el SSL Checker — la herramienta gratuita de InteSys valida cadena, expiración, protocolos y cifrados para cualquier dominio, sin costo y sin registro.

¿Necesita ayuda con la instalación? Nuestro soporte especializado está incluido — vea los certificados SSL de InteSys

Próximos Pasos