¿Dominio caducado o certificado SSL caducado? Cómo saberlo
Que caduque un dominio tumba todo, incluido el correo, porque el propio DNS deja de responder; que caduque un certificado deja el sitio perfectamente accesible pero pone una advertencia a pantalla completa entre cada visitante y tu contenido. Un dominio registrado y un certificado TLS válido son dos cosas separadas con dos calendarios separados, pero desde fuera pueden parecer el mismo problema: un sitio web que funcionaba deja de funcionar. Las bandejas de soporte reciben tickets de "el sitio está caído" por los dos, y la solución de uno no hace nada por el otro. Un fallo distinto, un responsable distinto, una solución distinta.
Qué pasa cuando caduca un registro de dominio
Un nombre de dominio es un alquiler, no una compra. Se registra con un registrador por un plazo fijo, y si nadie lo renueva antes de que se acabe ese plazo, el dominio deja de ser tuyo en un sentido muy literal y técnico: los registros DNS que apuntan tu dominio a tu servidor web, a tu servidor de correo, a todo, dejan de resolver. Los visitantes no ven una página de error de tu propio sitio, porque ya no hay ninguna ruta hasta tu sitio en absoluto; su navegador recibe un fallo de DNS antes de llegar a tu servidor. El correo se rompe de la misma forma, ya que la entrega de correo depende de los mismos registros DNS (las consultas MX) que la entrega web. Si un dominio ha "caducado" y todavía puedes recibir correo en él, o no ha caducado todavía, o estás mirando el dominio equivocado.
Los registradores no eliminan un dominio caducado en el instante en que expira. Hay una ventana de recuperación, generalmente estructurada por etapas: primero un periodo de gracia en el que puedes renovar al precio normal, luego un periodo de recuperación más largo en el que el registro conserva el nombre pero cobra una tarifa de restauración mucho más alta, y por último una ventana final de eliminación pendiente antes de que el nombre se libere al público, momento en el que cualquiera, incluido un inversor de dominios que vigile exactamente esto, puede registrarlo. El número exacto de días en cada etapa, y el tamaño de la tarifa de recuperación, varía según el registro y el registrador, así que trata cualquier cifra concreta que leas en otro sitio como una referencia orientativa para ese caso concreto, no como una constante universal. Lo que sí es universal es la forma: cuanto más esperes, más cuesta recuperar el nombre, y a partir de cierto punto sencillamente ha desaparecido. Recuperar un dominio caducado es una acción del registrador: tú, o quien controle la cuenta del registrador, tiene que entrar y renovarlo o restaurarlo. Ninguna configuración de servidor o de DNS lo arregla de tu lado.
Qué pasa cuando caduca un certificado TLS
Un certificado TLS (SSL) es un compromiso mucho más pequeño y de vida mucho más corta: una declaración firmada, válida durante un periodo limitado, de que una clave pública concreta pertenece a tu dominio. Al DNS no le importa, a tu hosting no le importa, y tu servidor web sigue sirviendo páginas exactamente igual que antes. Lo que cambia es lo que hace el navegador del visitante con esas páginas. En el momento en que pasa la fecha de caducidad de un certificado, todo navegador que la comprueba, que son todos, se niega a completar la conexión segura y muestra una pantalla intermedia a página completa en lugar de tu contenido: "Tu conexión no es privada", un candado con un triángulo de advertencia, o texto similar según el navegador. El sitio sigue ahí, el servidor sigue activo, pero casi nadie va a hacer clic a través de esa advertencia para verlo.
La solución es más acotada que una recuperación de dominio: reemitir o renovar el certificado e instalar el nuevo. Para un certificado emitido mediante un proceso automatizado, algo que admiten la mayoría del hosting moderno y muchas autoridades de certificación, la renovación puede ocurrir sin supervisión, con un calendario, sin necesitar ninguna acción humana mientras la automatización siga funcionando. El riesgo con los certificados en la práctica no es que la renovación sea difícil. Es que la automatización se detuvo (una tarea de cron que ya no se dispara, un gancho de renovación que empezó a fallar) y nadie lo notó hasta que lo hizo un visitante.
Cómo distinguir cuál de los dos estás viendo
| Síntoma | El dominio ha caducado | El certificado ha caducado |
|---|---|---|
| ¿Carga el sitio en absoluto? | No. El navegador no consigue resolver la dirección antes de llegar a tu servidor | El servidor responde, pero el navegador bloquea la página tras una advertencia |
| Qué muestra el navegador | Un error de "no se puede acceder a este sitio" / error de DNS | Una advertencia de certificado o de "la conexión no es privada" |
| Correo a ese dominio | También se rompe | No se ve afectado |
| Quién puede arreglarlo | Quien controle la cuenta del registrador | Quien gestione el certificado o el hosting |
Si no estás seguro de cuál de los dos estás viendo, comprueba cada uno por separado. Una comprobación whois te dice directamente el estado del registro del dominio. Una comprobación de certificado SSL te dice directamente la validez y la fecha de caducidad del certificado. Una consulta DNS rápida confirma si el dominio resuelve en absoluto, algo que por sí solo ya separa los dos casos: si resuelve, el dominio está bien y cualquier problema está aguas abajo de él. Entre estas tres, sabrás qué fallo estás viendo antes de tocar nada.
Cómo monitorizar los dos para que ninguno te sorprenda
La única solución real para cualquiera de los dos problemas es enterarte antes que un visitante enfadado. HostTracker ejecuta la monitorización de dominio y la de certificado como dos comprobaciones de dominio y TLS separadas, cada una dedicada a vigilar una caducidad concreta, para que no dependas de recordar tú mismo una fecha de renovación.
Ambas comprobaciones se ejecutan con el mismo ritmo, más o menos cada 6 horas, ya que un registro o un certificado no cambian de estado minuto a minuto. Además de las suscripciones de alerta que tú mismo fijes para la comprobación, las dos llevan también una escalera de recordatorios que se ejecuta automáticamente: un aviso enviado 30 días, 7 días y 1 día antes de la fecha de caducidad real. Esta escalera no es algo que configures. Se ejecuta sola, y sale solo por canales de mensaje, nunca por llamada de voz. Esos recordatorios anticipados van sobre la suscripción Up de la comprobación, así que un contacto necesita estar suscrito a eventos Up, no solo Down, para recibirlos. La alerta Down, la que se dispara porque el dominio o el certificado ha caducado de verdad, es independiente de la escalera de recordatorios y solo se dispara en la caducidad real, nunca en uno de los días de recordatorio en sí. Si sigue caído después de eso, Repeat sigue avisando a los contactos suscritos hasta que se recupera, momento en el que Up se dispara de nuevo.
Configura cada comprobación como harías con cualquier otro monitor de HostTracker: apúntala al dominio o certificado que te importa, añade los contactos que deberían enterarse, y asegúrate de que al menos uno de ellos esté en la suscripción Up para que la escalera de recordatorios llegue a alguien. Los recorridos paso a paso completos están en la guía de caducidad de dominio y la guía de caducidad de certificado.
Lecturas relacionadas
- Todas las guías de monitorización: el punto central para cada tipo de comprobación de HostTracker.
- Cómo comprobar la fecha de caducidad de un certificado SSL: la consulta de certificado puntual, por navegador y por línea de comandos.
- Cómo hacer una consulta whois: leer el registro que lleva la fecha de caducidad del dominio.
- Configurar una comprobación de caducidad de dominio
- Configurar una comprobación de caducidad de certificado