Certificado SSL: cuál necesitas y cuánto pagar en 2026

Vas a montar una web, o a renovar la que tienes, y en el panel del hosting te ofrecen un certificado SSL de pago por bastante dinero al año «para que salga el candado». Antes de aceptar: en la gran mayoría de los casos no necesitas pagar por el certificado, y el que te venden como premium hace exactamente lo mismo que uno gratuito para lo que a ti te importa. En este artículo vas a ver qué garantiza de verdad un certificado, cuál es el tipo que necesita una pyme, cuándo sí tiene sentido pagar y cuánto es razonable gastar, para que decidas con criterio y no por miedo al candado rojo.

Qué garantiza un certificado y qué no garantiza

Un certificado SSL (hoy más correctamente TLS) hace dos cosas: cifra la conexión entre el navegador de tu visitante y tu servidor, de modo que nadie por el camino pueda leer lo que se envía, y demuestra que quien contesta en tu dominio es quien dice ser. Cuando funciona, el navegador pinta el candado y sirve la web por https://.

Lo que no garantiza, y aquí se vende mucho humo: el candado no dice que la web sea de fiar, ni que la empresa detrás sea legal, ni que no haya un timo dentro. Una web de phishing puede tener un certificado perfectamente válido y su candado impecable. El candado significa «la conexión va cifrada y el dominio es el que ves en la barra», nada más. No es un sello de confianza ni una garantía de honradez.

Esto importa para tu decisión de compra, porque los certificados caros se venden apelando a una «confianza» que en la práctica el visitante ni ve ni distingue.

DV, OV y EV: cuál necesita de verdad una pyme

Hay tres niveles de validación, y la diferencia está en cuánto comprueba la autoridad antes de emitir, no en cómo de fuerte es el cifrado. El cifrado es el mismo en los tres.

DV (Domain Validation): solo comprueba que controlas el dominio. Se emite en minutos y de forma automática. Es el que usan Let’s Encrypt y la mayoría de hostings. Para una web corporativa, un blog o una tienda, es todo lo que necesitas.
OV (Organization Validation): además comprueba que la empresa existe y es quien dice ser. Requiere papeleo y tarda unos días. El dato de la organización queda dentro del certificado, pero el visitante no lo ve a simple vista.
EV (Extended Validation): la validación más exigente. En su día pintaba el nombre de la empresa en verde en la barra, pero los navegadores retiraron ese distintivo visual. Hoy un EV se ve igual que un DV: un candado y ya. Pagas por una comprobación que tu visitante no percibe.

Conclusión práctica: una pyme normal necesita un DV. El OV puede tener sentido puntual si un cliente grande o un pliego te lo exige por escrito. El EV, salvo obligación contractual muy concreta, es dinero que no vuelve.

Let’s Encrypt frente a certificado de pago: diferencias que sí notas

Let’s Encrypt es una autoridad de certificación gratuita y reconocida por todos los navegadores. Su certificado cifra igual de bien que cualquiera de pago y lo acepta todo el mundo. Tiene dos características propias: dura noventa días y está pensado para renovarse solo de forma automática. Ese plazo corto asusta a quien no lo conoce, pero en la práctica es una ventaja: si la renovación automática está bien montada, no te enteras nunca; y si algo se rompe, te enteras antes.

Las diferencias reales que puedes notar frente a un certificado de pago son pocas y concretas:

Garantía económica: los certificados de pago suelen venir con un seguro nominal. En la práctica es casi imposible de cobrar y no protege tu web de nada; es una cifra para el folleto.
Soporte: con uno de pago tienes a quién llamar si algo falla. Con Let’s Encrypt, el soporte es tu hosting o tú. Si tu hosting ya lo gestiona por ti, esta diferencia desaparece.
Validación de organización: Let’s Encrypt solo emite DV. Si necesitas OV o EV por una exigencia externa, ahí sí tienes que ir a una autoridad de pago.

Para la inmensa mayoría de webs, Let’s Encrypt gestionado por el hosting es la opción correcta y no tienes que hacer nada más que activarlo.

Comodín y multidominio: cuándo hacen falta

Un certificado normal cubre un dominio y, casi siempre, su versión con www. A veces necesitas más:

Comodín (wildcard): cubre todos los subdominios de un dominio (tienda.tudominio.es, blog.tudominio.es, panel.tudominio.es) con un solo certificado. Compensa cuando tienes varios subdominios o creas subdominios a menudo. Si solo tienes el dominio y su www, no lo necesitas.
Multidominio (SAN): cubre varios dominios distintos en un mismo certificado (tudominio.es, tudominio.com, tumarca.es). Útil si gestionas varias marcas o extensiones desde el mismo sitio.

Let’s Encrypt también emite comodines de forma gratuita, aunque montarlos requiere un paso extra de validación por DNS. Muchos paneles lo hacen por ti; si el tuyo no, es una de las pocas situaciones en que un comodín de pago, cómodo y automático, puede ahorrarte tiempo.

Qué debería estar incluido en tu hosting

Aquí está la parte que más dinero ahorra: un hosting decente incluye el certificado gratis y lo renueva solo. No deberías pagar aparte por el SSL básico de tu web. Si tu proveedor te cobra por el candado como si fuera un extra, o directamente no ofrece Let’s Encrypt, es una señal de que el hosting se ha quedado atrás.

Al elegir o revisar proveedor, comprueba que ofrezca:

Certificado gratuito (Let’s Encrypt u equivalente) incluido en el plan.
Renovación automática sin que tengas que acordarte.
Redirección automática de http:// a https://.
Un botón o interruptor para activarlo, sin tener que abrir un ticket.

Esto forma parte de lo que debe traer resuelto un buen alojamiento, un tema que se desarrolla al detalle en la guía sobre cómo elegir el hosting de una web de empresa y en la de configuración segura del hosting, HTTPS, correo y DNS. Si estás valorando cambiar de proveedor, que incluya el SSL bien resuelto es un mínimo, no un lujo.

Renovación automática: cómo asegurarte de que no caduca un domingo

El fallo más habitual con los certificados no es de tipo ni de precio: es que caducan sin que nadie se dé cuenta, normalmente un fin de semana, y la web amanece con un aviso rojo que espanta a los clientes. Que la renovación sea «automática» no significa que no falle nunca; significa que hay un proceso que se ejecuta solo y que, como cualquier proceso, puede romperse en silencio.

Dos cosas te dan tranquilidad. La primera, comprobar de vez en cuando la fecha de caducidad. Desde una terminal:

echo | openssl s_client -connect tudominio.es:443 -servername tudominio.es 2>/dev/null | openssl x509 -noout -dates

Eso te devuelve la fecha de emisión y la de caducidad. Si prefieres no tocar la terminal, pinchando en el candado del navegador y entrando en los datos del certificado también la ves. La segunda, y más importante: montar un aviso que te avise antes de que caduque, no después. Un buen servicio de vigilancia lo hace por ti y te lo dice con margen. Si un certificado caducado te pilla por sorpresa, tienes también la guía de errores de certificado SSL y cómo solucionarlos, porque la caducidad es solo uno de los cinco fallos típicos.

Cuánto es razonable pagar en 2026

Vamos al grano con criterios, no con cifras infladas:

SSL básico (DV) de tu web: cero euros. Va incluido en cualquier hosting que se precie. Si te lo cobran aparte, cambia de plan o de proveedor antes que pagarlo.
OV: solo si un cliente o un pliego te lo exige por escrito. El coste depende de la autoridad, pero antes de pagarlo pregunta si de verdad te lo están pidiendo o si es interpretación tuya.
EV: para la web de una pyme, casi nunca. El navegador ya no muestra ninguna distinción visible, así que pagas por algo que tu visitante no ve.
Comodín: gratis con Let’s Encrypt si tu panel lo gestiona; de pago solo compensa cuando la automatización por DNS te resulta engorrosa y valoras la comodidad.

La regla que no falla: si te están cobrando por «el candado» de una web normal, estás pagando de más. El dinero de tu presupuesto de seguridad rinde muchísimo más en mantenimiento, copias de seguridad y accesos que en un certificado premium que no aporta nada que el gratuito no dé.

Si no tienes claro cómo está montado ahora mismo el certificado de tu web ni cuándo caduca, pide el informe gratuito de PathSentinel y comprueba el estado del certificado y del resto de tu dominio: te dice qué certificado estás sirviendo, si la cadena está completa, cuándo vence y qué más conviene revisar, sin tocar nada de tu web.

Seguir leyendo en esta sección

Ver todo en Hosting, certificados y copias → · Mapa completo del sitio