Your connection is not private: qué significa el aviso y cómo solucionarlo
"Your connection is not private" ("tu conexión no es privada") es el aviso titular de Chrome para toda la familia de errores de certificado NET::ERR_CERT_*, que se muestra siempre que el navegador recibe un certificado en el que no puede confiar del todo. El código exacto debajo del titular, visible si pulsas "Advanced", te dice de qué problema concreto se trata.
Qué significa el aviso
A diferencia de ERR_SSL_PROTOCOL_ERROR, que salta antes de que se juzgue ningún certificado, este aviso siempre significa que se recibió y evaluó un certificado, y que falló una comprobación concreta: sus fechas, su emisor, la coincidencia de su nombre de host, o su estado de revocación. Chrome agrupa todo esto bajo un único titular alarmante porque el riesgo subyacente es el mismo en cualquier caso (la conexión podría no estar hablando con quien cree que está hablando), pero la solución depende por completo de qué código NET::ERR_CERT_* concreto haya detrás.
Cómo aparece el aviso
Chrome muestra un aviso rojo a pantalla completa: "Your connection is not private - Attackers might be trying to steal your information from example.com", con un enlace "Proceed to example.com (unsafe)" escondido bajo "Advanced". Firefox muestra "Warning: Potential Security Risk Ahead" con un código de error concreto. Safari muestra "This Connection Is Not Private". Edge refleja de cerca el texto de Chrome.
Qué significan los códigos de error concretos
| Código | Qué significa |
|---|---|
| NET::ERR_CERT_DATE_INVALID | La ventana de validez del certificado no cubre el momento actual, ya sea porque caducó, todavía no es válido, o el reloj del dispositivo del visitante está mal. |
| NET::ERR_CERT_AUTHORITY_INVALID | El certificado no lo emitió una autoridad en la que confíe el navegador. Normalmente un certificado autofirmado, un certificado intermedio ausente en la cadena, o un certificado de una CA no reconocida o privada. |
| NET::ERR_CERT_COMMON_NAME_INVALID | El certificado es válido, pero no se emitió para el nombre de host que se está visitando. Una entrada equivocada o ausente en la lista Subject Alternative Name (SAN) del certificado, a menudo después de añadir un subdominio nuevo sin reemitir el certificado para cubrirlo. |
| NET::ERR_CERT_REVOKED | La autoridad de certificación ha revocado explícitamente este certificado antes de su fecha de caducidad, normalmente porque se comprometió la clave privada o el certificado se emitió por error. |
¿Es tu dispositivo o el sitio?
Si el aviso aparece en muchos sitios distintos, no solo en uno, revisa primero el reloj de tu dispositivo: una fecha muy desviada rompe la validación de certificados en todas partes a la vez y es una de las causas más habituales de este aviso en general. Si ocurre solo en un sitio y se ve igual desde otros dispositivos y redes, el propio certificado necesita arreglarse en el servidor. Una comprobación SSL desde varias ubicaciones confirma en una sola pasada si el problema del certificado es constante en todas partes o específico de la configuración de un visitante.
Cómo corregir "Your connection is not private"
Si eres el visitante
- Revisa la fecha y la hora de tu sistema y configúralas para que se sincronicen automáticamente; esto por sí solo resuelve una gran parte de los avisos ERR_CERT_DATE_INVALID que no tienen nada que ver con el sitio.
- Si estás en un wifi público, busca un portal cautivo. Algunas redes de hoteles, aeropuertos o cafeterías interceptan la primera petición HTTPS con su propio certificado para redirigirte a una página de inicio de sesión, lo que dispara exactamente este aviso; abre primero un sitio HTTP plano o la página de inicio de sesión de la red.
- Revisa si hay un escaneo HTTPS de un antivirus interceptando la conexión con su propio certificado; desactivarlo temporalmente y volver a intentarlo aísla si ese software es la causa.
- Nunca continúes pasando el aviso en un sitio donde estés a punto de introducir una contraseña, datos de pago, u otra información sensible. El aviso existe específicamente porque el navegador no puede confirmar que realmente está hablando con el sitio que pretendías; saltártelo elimina esa garantía por completo.
- Si de verdad reconoces y confías en el sitio (una herramienta interna de la empresa con un certificado autofirmado, por ejemplo), esa es la única situación en la que continuar pasando el aviso, después de entender exactamente por qué apareció, es una decisión razonable.
Si administras el sitio
- Instala la cadena completa de certificados, no solo el certificado hoja. ERR_CERT_AUTHORITY_INVALID lo causa con frecuencia un certificado intermedio ausente y no un emisor realmente no confiable; verifica con
openssl s_client -connect example.com:443 -showcertsque se está sirviendo la cadena completa en el orden correcto. - Reemite el certificado con las entradas SAN correctas siempre que aparezca ERR_CERT_COMMON_NAME_INVALID, asegurándote de que se lista cada nombre de host y subdominio realmente en uso, no solo el dominio pelado.
- Renueva antes de la caducidad, no después, y fija un recordatorio o una renovación automática (como el certbot de Let's Encrypt con un cron) con bastante antelación a la fecha de caducidad en lugar de reaccionar al aviso una vez que los visitantes empiecen a reportarlo.
- Si un certificado se emitió por error o se expuso una clave privada, revócalo y reemítelo de inmediato en lugar de dejarlo activo; ERR_CERT_REVOKED en el certificado antiguo es el comportamiento esperado y correcto una vez que eso ocurre.
- Nunca uses un certificado autofirmado en un sitio de cara al público. Es apropiado para herramientas internas donde cada cliente se puede configurar para confiar en él explícitamente, pero disparará ERR_CERT_AUTHORITY_INVALID para cualquier visitante normal en un sitio público.
Errores relacionados
- ERR_CERT_DATE_INVALID cubre el caso de caducado-o-aún-no-válido con más detalle, incluido el ángulo del desajuste de reloj.
- ERR_SSL_PROTOCOL_ERROR es el fallo de una etapa anterior, donde el handshake se rompe antes de que llegue a recibirse siquiera ningún certificado, a diferencia de todos los casos de esta página.
Firefox, Safari y Edge clasifican las mismas causas subyacentes con etiquetas y colores ligeramente distintos, pero la distinción entre "es mi dispositivo" y "es el certificado del sitio" se mantiene en todos ellos: un problema de reloj o de interceptación en una máquina produce el aviso en todos los sitios por los que navegue esa máquina, mientras que un defecto real del certificado lo produce para cualquier visitante que llegue a ese sitio, sea cual sea el navegador que use.
Cómo prevenirlo
Un problema de certificado tan visible cuesta confianza en el momento en que un visitante lo ve, y la caducidad en particular es totalmente predecible con antelación. La monitorización de caducidad de certificados SSL sigue los días que le quedan a un certificado y alerta antes de que expire, en lugar de después de que los visitantes empiecen a ver el aviso. HostTracker monitoriza sitios web desde 2004 desde más de 300 puntos de control en 158 ciudades y alerta por correo, SMS, llamada de voz, Slack, Telegram y más.
Preguntas frecuentes
¿Alguna vez es seguro pulsar "Proceed anyway"?
Solo cuando entiendes exactamente por qué apareció el aviso y confías en el sitio de todos modos, como una herramienta interna que usa un certificado autofirmado que configuraste tú mismo. Nunca continúes en un sitio donde estés a punto de escribir una contraseña o datos de pago.
¿Por qué veo este aviso en todos los sitios, no solo en uno?
Eso casi siempre apunta a que el reloj de tu propio dispositivo está mal, u ocasionalmente a un antivirus o un software corporativo interceptando el tráfico HTTPS en tu máquina. Revisa primero la fecha del sistema.
¿Cuál es la diferencia entre un certificado caducado y uno revocado?
Un certificado caducado simplemente llegó al final de su ventana de validez, un evento rutinario y esperado si no se renueva a tiempo. Un certificado revocado fue invalidado explícitamente y de forma anticipada por su emisor, normalmente por un problema de seguridad como una clave privada comprometida.
Añadí un subdominio nuevo y ahora muestra este aviso. ¿Por qué?
Es probable que la lista SAN del certificado existente no incluya el subdominio nuevo. Reemite el certificado para cubrir cada nombre de host realmente en uso, incluidos los subdominios nuevos.
¿De verdad puede una página de inicio de sesión de wifi de hotel o aeropuerto causar un aviso de certificado?
Sí. Un portal cautivo que intercepta tu primera petición HTTPS para redirigirte a su página de inicio de sesión no puede presentar un certificado válido para el sitio al que intentabas llegar, así que el navegador lo marca correctamente. Iniciar sesión primero en el portal normalmente lo resuelve.