Cuando una página web utiliza HTTPS, la información intercambiada entre el navegador y el servidor viaja protegida mediante TLS.
Aunque habitualmente seguimos hablando de certificados SSL, SSL es el nombre histórico de una tecnología que actualmente ha sido sustituida por TLS. El término continúa utilizándose de forma general para referirse a los certificados que permiten establecer conexiones HTTPS.
Estos certificados pueden obtenerse gratuitamente o contratarse a una autoridad certificadora comercial.
La diferencia importante no es que uno cifre mejor que otro por ser de pago. Debemos analizar qué identidad valida el certificado, cómo se gestiona y qué necesidades tiene la organización.
¿Para qué sirve un certificado SSL/TLS?
Cuando accedemos a https://www.endeos.com el navegador establece una conexión TLS con el servidor.
El certificado permite autenticar el dominio con el que estamos estableciendo la conexión y participa en el establecimiento de una comunicación cifrada.
Así evitamos que información como credenciales, formularios o cookies circule por Internet en texto legible y protegemos también la integridad de la comunicación.
Por eso HTTPS debe considerarse actualmente un requisito básico para una web pública.
¿Un certificado de pago cifra mejor que uno gratuito?
No necesariamente.
El precio del certificado no determina la fortaleza del cifrado.
Un certificado DV gratuito correctamente emitido puede utilizar las mismas tecnologías TLS modernas que un certificado comercial.
La seguridad de la conexión depende también de la configuración del servidor, las versiones de TLS admitidas, los algoritmos utilizados y el software del cliente y del servidor.
Las diferencias entre certificados se encuentran principalmente en qué se valida antes de emitirlos y qué servicios adicionales proporciona el proveedor.
DV, OV y EV: qué valida cada certificado
Los certificados públicos pueden distinguirse por el nivel de validación realizado antes de su emisión.
Certificados DV
DV significa Domain Validation.
La autoridad certificadora comprueba que quien solicita el certificado controla el dominio, por ejemplo mediante un registro DNS o un archivo situado en el servidor.
Un certificado DV no verifica qué empresa o persona existe detrás de ese dominio.
Let's Encrypt emite este tipo de certificados.
Certificados OV
OV significa Organization Validation.
Además de comprobar el control del dominio, la autoridad certificadora verifica información sobre la organización que solicita el certificado.
La diferencia respecto a DV está, por tanto, en la validación de identidad de la empresa, no en utilizar un cifrado superior.
Certificados EV
EV significa Extended Validation.
El proceso incorpora comprobaciones más rigurosas sobre la organización y sobre la autorización de quien solicita el certificado en su nombre.
De nuevo, la principal diferencia está en la validación de identidad.
¿Qué ofrece Let's Encrypt?
Let's Encrypt es una autoridad certificadora sin ánimo de lucro que proporciona certificados TLS gratuitos.
Sus certificados estándar son DV, por lo que validan el control sobre los dominios incluidos, pero no la identidad jurídica de la organización propietaria.
Además, el proceso está diseñado para automatizarse mediante el protocolo ACME.
Cuando el hosting o servidor está correctamente configurado, tanto la emisión como la renovación pueden realizarse automáticamente.
Esto hace que Let's Encrypt sea una solución perfectamente válida para una gran cantidad de páginas web, incluidas webs corporativas, aplicaciones y tiendas online cuando no existe ningún requisito adicional de validación organizativa.
¿Cuánto duran los certificados?
Los certificados estándar de Let's Encrypt tienen actualmente una validez de 90 días.
Esto no significa que tengamos que renovarlos manualmente cada tres meses. El sistema está pensado para automatizar las renovaciones antes de que el certificado expire.
También ha cambiado mucho la duración de los certificados comerciales.
Desde marzo de 2026, los certificados TLS públicos nuevos tienen una duración máxima mucho menor que antiguamente. Por tanto, ya no tiene sentido comparar un certificado gratuito de 90 días con un certificado comercial de uno o dos años.
Un proveedor puede comercializar un servicio durante un periodo más largo, pero los certificados concretos deben reemitirse conforme a los límites vigentes.
La tendencia actual es hacia certificados de vida más corta y renovaciones automatizadas.
Wildcard y varios dominios
Los certificados gratuitos tampoco están limitados necesariamente a un único hostname.
Let's Encrypt permite emitir certificados wildcard como:
*.ejemplo.com
que pueden cubrir diferentes subdominios, utilizando validación DNS.
También es posible incluir varios nombres mediante Subject Alternative Name (SAN).
Por tanto, wildcard y multidominio no son características exclusivas de los certificados de pago.
La elección depende de cómo esté diseñada la infraestructura y de qué dominios necesitemos proteger.
Entonces, ¿por qué pagar por un certificado?
Un servicio comercial puede aportar valor en aspectos distintos del cifrado.
Por ejemplo, puede ofrecer validación OV o EV, soporte técnico, herramientas de administración o sistemas de gestión centralizada del ciclo de vida de los certificados.
En organizaciones con muchos dominios y certificados puede ser especialmente importante disponer de inventario, monitorización, automatización y control centralizado.
Algunos certificados comerciales también incluyen garantías económicas, pero no deberían interpretarse como un seguro general frente a ciberataques o pérdida de información. Su cobertura depende de las condiciones concretas del proveedor.
Por tanto, el coste puede justificarse por los servicios alrededor del certificado, no porque HTTPS utilice automáticamente un cifrado más fuerte.
¿Un certificado gratuito es suficiente para una web empresarial?
En muchos casos, sí.
Una web corporativa, un blog, una aplicación o incluso una tienda online pueden utilizar perfectamente un certificado DV gratuito si el objetivo es habilitar HTTPS y no existen requisitos adicionales de validación de identidad.
No debemos utilizar un certificado de pago simplemente porque la web gestione información “más sensible”.
Lo importante es que TLS esté correctamente configurado y que el certificado se renueve sin interrupciones.
Esto último debería formar parte del mantenimiento de una página web, ya que un certificado expirado puede provocar advertencias del navegador y dejar la web inaccesible para muchos usuarios.
Un certificado comercial puede tener más sentido cuando necesitamos identificar formalmente a la organización mediante OV o EV, disponer de soporte específico o gestionar una infraestructura de certificados más compleja.
Tener HTTPS no significa que una web sea segura
También conviene evitar otra confusión habitual.
Ver HTTPS no demuestra automáticamente que una web sea legítima.
Un atacante puede registrar un dominio, demostrar que lo controla y obtener correctamente un certificado DV. La conexión con ese dominio estará cifrada, pero el sitio puede seguir teniendo una finalidad fraudulenta.
HTTPS significa que estamos estableciendo una conexión protegida con el dominio que aparece en el navegador.
Tampoco protege por sí solo una aplicación frente a vulnerabilidades, contraseñas débiles o software sin actualizar.
Por ejemplo, una instalación WordPress necesita además actualizaciones, control de accesos, backups y otras medidas que explicamos en nuestra guía sobre cómo mejorar la seguridad de WordPress.
SSL gratuito o de pago: ¿cuál elegir?
Para muchas páginas web, un certificado DV gratuito de Let's Encrypt correctamente configurado y renovado automáticamente será suficiente.
Un certificado o servicio comercial puede tener sentido cuando necesitamos validación de la organización, soporte especializado o herramientas empresariales para gestionar los certificados.
Por tanto, la decisión no debería basarse únicamente en si el certificado es gratis o de pago.
La pregunta más útil es: ¿qué necesitamos validar y cómo vamos a gestionar nuestros certificados durante todo su ciclo de vida?
En ENDEOS desarrollamos y mantenemos soluciones web para empresas, incluyendo configuración HTTPS, mantenimiento técnico y gestión de la infraestructura necesaria para mantener las webs operativas y actualizadas.