Certificado SSL que no funciona en tu dominio propio
Por qué falla el HTTPS al conectar tu dominio a Vercel o Netlify: DNS, registros AAAA viejos, reglas CAA, proxies y contenido mixto, con el arreglo de cada uno.
Read in English →
Cuando el certificado SSL no funciona en tu dominio propio, casi siempre es porque el hosting no logra demostrarle a Let's Encrypt que el dominio apunta a él. La causa suele estar en el DNS: un registro que sigue apuntando a otro lado, un AAAA viejo, un registro CAA que bloquea a Let's Encrypt o un proxy delante del hosting. Corrige eso y Vercel o Netlify emiten el certificado por su cuenta.
Esta guía te ayuda a saber qué problema tienes según el aviso del navegador, revisar cada causa en orden y confirmar el arreglo. También cubre el aviso de "No seguro" que no tiene nada que ver con el certificado.
¿Qué te está diciendo el aviso del navegador?
Cada síntoma apunta a una causa distinta, así que empieza por aquí.
| Lo que ves | Lo que suele significar |
|---|---|
"La conexión no es privada" con NET::ERR_CERT_COMMON_NAME_INVALID | El certificado es de otro nombre: un hosting anterior, o www no está incluido |
ERR_SSL_PROTOCOL_ERROR | Todavía no hay certificado válido para ese nombre, o algo en la red interfiere |
| La página carga pero la barra dice "No seguro" | Contenido mixto: la página es HTTPS pero carga imágenes o scripts por http:// |
| La página de dominios del hosting muestra un error o "Invalid Configuration" | El DNS no coincide con lo que espera el hosting, y no puede emitir el certificado |
| Netlify dice "We could not provision a Let's Encrypt certificate for your custom domain" | Falló la validación; Netlify sigue reintentando mientras corriges el DNS |
Compara con la dirección generada (tuapp.vercel.app o tusitio.netlify.app). Si esa abre con HTTPS y tu dominio no, el problema está entre tu dominio y el hosting, no en tu código.
¿Cómo emiten el certificado Vercel y Netlify?
Los dos usan Let's Encrypt y lo hacen gratis. Para un dominio normal, Let's Encrypt pide un archivo pequeño en /.well-known/acme-challenge/ de tu dominio por HTTP simple, y el hosting lo responde. Eso solo funciona si el DNS del dominio manda la petición al hosting. Los dominios comodín son otra historia: necesitan una verificación por DNS, y por eso Vercel te pide usar sus nameservers o delegar el nombre _acme-challenge.
Las renovaciones usan la misma verificación, así que una configuración que la bloquea también puede romper un certificado que antes funcionaba.
¿Cómo lo arreglo paso a paso?
1. Confirma que los dos nombres estén en el proyecto
Agrega tudominio.com y www.tudominio.com en la configuración de dominios del hosting y elige cuál redirige al otro. El certificado solo cubre los nombres que agregaste. Si la gente escribe www y solo agregaste la raíz, el nombre no coincide.
2. Revisa qué responde realmente el DNS
dig a tudominio.com +short
dig aaaa tudominio.com +short
dig cname www.tudominio.com +shortLa raíz debería devolver solo el valor A que te indica el hosting (Netlify documenta 75.2.60.5; Vercel muestra el valor en la configuración de dominios del proyecto). www debería devolver el CNAME que te dio el hosting. Cualquier registro A extra en la raíz, como el de la página de estacionamiento del registrador, sobra. La documentación de Netlify advierte justamente que los registros A adicionales en la raíz hacen fallar la emisión.
3. Borra los AAAA que apuntan a otro lado
Este atrapa a mucha gente. Si tu dominio conserva un registro AAAA (IPv6) de la configuración por defecto del registrador, Let's Encrypt prefiere la dirección IPv6 y la prueba primero. Solo vuelve a IPv4 si la conexión se agota por tiempo, no ante otros errores, así que un AAAA viejo puede hacer fallar la validación aunque tu registro A esté perfecto. Ni Vercel ni Netlify soportan hoy IPv6 en dominios propios, así que elimina los AAAA de los nombres que apuntan a ellos.
4. Busca un registro CAA que bloquee a Let's Encrypt
dig caa tudominio.com +noall +answerNo tener registros CAA está bien: significa que cualquier autoridad puede emitir. Si existe uno y no incluye a Let's Encrypt, agrégalo:
tudominio.com. CAA 0 issue "letsencrypt.org"Para certificados comodín, también debe permitirlo un registro issuewild. Las políticas CAA se heredan del dominio padre, así que revisa la raíz aunque estés configurando un subdominio.
5. Saca los proxies del camino
Si tu DNS está en Cloudflare con el proxy activado (la nube naranja), la petición de verificación quizá nunca llegue al hosting. La guía de problemas con dominios de Vercel indica poner el registro en DNS only, o enviar /.well-known/acme-challenge/* a Vercel sin caché, redirecciones ni autenticación. Lo mismo vale para cualquier otro proxy o firewall delante del sitio.
6. Espera y vuelve a intentar
Los cambios de DNS tardan en propagarse, según el TTL del registro anterior. Netlify reintenta cada 10 minutos durante las primeras 24 horas y luego cada hora por dos días más. Si después de 24 horas no aparece, su documentación dice que lo más probable es un error de DNS, así que vuelve al paso 2. Let's Debug, la herramienta que recomienda Vercel, corre las mismas verificaciones que Let's Encrypt y nombra el problema con claridad.
¿Por qué el navegador sigue diciendo "No seguro"?
Si el certificado es válido (haz clic junto a la dirección y revisa los detalles del certificado) pero sigue el aviso, la página está cargando algo por HTTP simple. Los sospechosos habituales en apps hechas con IA:
- La URL de una imagen o logo guardada en la base de datos como
http://… - Una URL base de API escrita en una variable de entorno que empieza con
http:// - Un widget o una fuente que se carga desde una dirección vieja
Abre la consola del navegador: los avisos de contenido mixto nombran cada URL. Cámbialas a https:// o a rutas relativas, vuelve a desplegar y recarga.
¿Cómo confirmo que quedó bien?
- La página de dominios del hosting muestra el dominio como válido y con certificado.
https://tudominio.comyhttps://www.tudominio.comabren sin avisos, y uno redirige al otro.- Prueba desde otra red, por ejemplo el celular con datos móviles, para descartar una caché local.
- Inicia y cierra sesión en tu dominio. Si el login te devuelve a la URL de preview, la configuración de autenticación sigue apuntando a la dirección vieja; la guía de redirect de login de Lovable en tu dominio muestra el arreglo.
Respuestas rápidas
¿Cuánto tarda en emitirse el certificado? Normalmente minutos cuando el DNS está bien. Si ya pasó más de un día, casi seguro el DNS sigue mal.
¿Tengo que comprar un certificado SSL? No. Vercel y Netlify emiten y renuevan certificados de Let's Encrypt gratis. En Vercel, subir un certificado propio está limitado a planes específicos.
¿Puedo dejar encendido el proxy de Cloudflare? A veces, pero agrega una capa que tiene que dejar pasar la validación y las renovaciones. Si no necesitas las funciones del proxy, el modo solo DNS es más simple.
¿Por qué el HTTPS andaba y ahora no? Falló la renovación. Algo cambió desde la emisión: un registro CAA nuevo, un proxy o un DNS que se movió a otro lado.
¿Sigues sin HTTPS?
Si ya hiciste estos pasos y el certificado no sale, nuestro equipo de mantenimiento de software resuelve problemas de dominios y certificados como parte de mantener apps andando. Lee la guía de registros DNS explicados para el contexto, pasa tu dominio por el chequeo gratuito o escríbenos con el nombre de tu dominio.
