¿Qué muestra el inspector de certificados SSL?
Escribe un dominio (o hostname:puerto), pulsa Comprobar y la herramienta abre un TLS handshake real contra ese servidor y lee su cadena de certificados. Obtienes los mismos datos que ve tu navegador al pulsar el candado, más algunos extras: días hasta la caducidad, fuerza de la clave pública, algoritmo de firma, huellas SHA-1 / SHA-256, SANs, URLs de AIA y CRL.
Útil cuando HTTPS se ha roto ("ERR_CERT_DATE_INVALID", "NET::ERR_CERT_AUTHORITY_INVALID"), cuando vas a renovar un certificado y quieres confirmar que el nuevo ya está en producción, o cuando auditas un servicio recién desplegado y necesitas comprobar que la cadena está completa.
Funciona en el puerto 443 por defecto, pero también en 465 (SMTPS), 993 (IMAPS), 8443 (paneles de administración) o cualquier puerto que hable TLS.
Cómo usarlo
- Escribe un hostname como `ejemplo.com` o `mail.google.com`. Omite https://, es el protocolo, no parte del nombre.
- ¿Necesitas un puerto no estándar? Escríbelo tras dos puntos: `ejemplo.com:8443`, o rellena el campo dedicado Puerto.
- Pulsa Comprobar. Nuestro servidor abre un TLS handshake, 1-3 segundos en una conexión típica.
- Lee la cadena de arriba abajo: leaf (tu dominio) → intermedio (emitido por una raíz) → CA raíz (DigiCert, Let's Encrypt, etc.). Las advertencias se muestran como chips rojos en la parte superior.
Cuándo es útil
Seis situaciones del día a día:
- HTTPS roto en el navegador. Ha desaparecido el candado o has visto "NET::ERR_CERT_*". El inspector te dice qué comprobación falló: caducado, hostname no coincide, intermedio ausente, firma débil.
- Renovación de certificado. Acabas de desplegar un nuevo certificado de Let's Encrypt / DigiCert. Verifica que la cadena está completa y que la ventana de validez empieza ahora.
- Auditoría de servidor de correo. Revisa SMTPS (465), IMAPS (993), Submission (587): los clientes de correo son más estrictos que los navegadores con las cadenas.
- Servicios internos. admin.tudominio.com:8443, vpn.tudominio.com:443, api.tudominio.com. Confirma que ninguno está a pocos días de caducar.
- Comprobación de proveedor / tercero. Antes de integrar la API de un partner, ojea su certificado: emisor de confianza, SAN válido, sin SHA-1.
- Migración. Has movido un sitio a un nuevo host. Confirma que el nuevo servidor presenta el certificado correcto (no el viejo, ni el certificado por defecto del host). Revisa también DNS en la consulta DNS y la titularidad en la consulta WHOIS. Para un CSR nuevo antes de reemitir el certificado, usa el generador de CSR.