¿Certificado SSL gratis o de pago?

La duda aparece en cuanto registras un dominio: el panel del registrador ofrece un certificado SSL por una cuota anual, y el tutorial que leíste dice que puedes tener uno sin pagar. Las dos cosas son ciertas, y la diferencia no está en el cifrado. Si aún no sabes qué hace un certificado, empieza por qué es SSL/TLS.

¿Qué cambia entre un certificado de pago y uno gratuito?#

El cifrado de la conexión se negocia entre navegador y servidor y no depende de lo que pagaste por el certificado. Lo que cambia es lo que la autoridad certificadora (CA) verifica antes de firmar y lo que viene incluido:

• Validación de identidad: los gratuitos son DV, que solo confirman el control del dominio. Los de pago pueden ser OV o EV, con comprobación de la organización.
• Garantía económica: algunas CA de pago ofrecen una garantía (warranty) ante una emisión incorrecta. Revisa las condiciones de cada una, porque los montos y requisitos varían.
• Soporte: atención humana para problemas de emisión e instalación.
• Automatización: los gratuitos están pensados para renovarse solos por ACME. Los de pago también pueden automatizarse, pero muchos se siguen emitiendo por formulario.

¿Qué son DV, OV y EV?#

Según DigiCert, la diferencia entre los tipos está en la validación de identidad. Let's Encrypt, por ejemplo, solo emite DV y no planea ofrecer OV ni EV.

En la práctica, los datos de la organización quedan en el detalle del certificado, que casi ningún visitante abre. Pagar por OV o EV solo para "dar confianza" al usuario común rinde poco.

¿Quién ofrece certificados gratuitos?#

• Let's Encrypt: CA sin fines de lucro que no cobra por los certificados. Emite wildcard, pero solo con el desafío DNS-01. Mira cómo funciona Let's Encrypt.
• Cloudflare Universal SSL: certificados públicos emitidos y renovados sin costo para dominios activos en Cloudflare, en cualquier plan. En una configuración completa cubre el dominio raíz y los subdominios de primer nivel (ejemplo.com, www.ejemplo.com); los niveles más profundos requieren Total TLS o un certificado avanzado.
• Hostings y paneles: muchos integran Let's Encrypt u otra CA y emiten por ti. El certificado en sí no cuesta nada, pero el proveedor puede cobrar una tarifa administrativa, como advierte el propio FAQ de Let's Encrypt.

Estas condiciones cambian con el tiempo. Revisa la página de cada proveedor antes de decidir.

¿Cuánto dura un certificado de pago?#

Mucho menos que antes. El CA/Browser Forum, que define las reglas de las CA públicas, viene reduciendo la validez máxima por etapas. El 15 de marzo de 2026 el tope bajó a 200 días, y el cronograma prevé nuevos recortes en los años siguientes. Revisa las fechas y el límite actual en los requisitos del CA/Browser Forum.

En la práctica, el certificado "de 1 año" ya no existe, y el de pago también debe renovarse varias veces al año. Si la renovación es manual, el costo real incluye tu tiempo y el riesgo de olvidar una fecha. Con DV, la renovación por ACME elimina el trabajo manual.

¿Cómo estimar el costo real de un certificado?#

Suma el precio, el tiempo humano y el costo de una falla:

costo anual = precio del certificado
            + (renovaciones por año × minutos por renovación × valor del minuto)
            + (probabilidad de olvidar × costo de estar fuera de línea)

Los números de abajo son hipotéticos, elegidos para facilitar la cuenta. No son precios de ninguna autoridad certificadora; cámbialos por los tuyos.

Ejemplo hipotético: un certificado de pago a US$ 300 al año, con validez de 200 días, exige al menos 2 renovaciones por año. Si cada renovación manual toma 30 minutos y tu hora vale US$ 20, son US$ 300 + 2 × 0,5 × US$ 20 = US$ 320 al año, sin contar el riesgo de olvidar. El mismo sitio con DV automático por ACME cuesta el tiempo de la configuración inicial y poco después.

¿Cuándo vale la pena pagar?#

Paga cuando se cumpla alguno de estos casos:

• Exigencia contractual o de compliance: un contrato, una auditoría o un procesador de pagos pide OV o EV. Revisa el texto de la exigencia.
• Datos de la organización en el certificado: necesitas que el nombre de la empresa figure en él.
• Garantía o soporte contratados: tu operación quiere un canal de atención y una garantía ante emisión incorrecta.
• Cliente o dispositivo heredado: un sistema antiguo que solo confía en una CA concreta.

Si no se da ninguno de estos casos, el DV automático cubre lo que necesita un sitio, una API o un bot con panel web. Para cualquier tipo, la buena práctica es la misma: renovación automática y monitoreo de la fecha de vencimiento. Si algo sale mal, mira errores de certificado SSL.

Cómo hacerlo en Square Cloud#

En Square Cloud, el TLS automático viene incluido en todos los planes, y el certificado se renueva solo. Toda aplicación web recibe un subdominio *.squareweb.app con HTTPS, sin que tengas que emitir ni renovar ningún certificado.

Para usar tu propio dominio, desde el plan Standard, creas en tu registrador los registros DNS que muestra el panel y sigues el estado de validación en tiempo real. El TLS del dominio personalizado también es automático, y el dominio sigue registrado a tu nombre en tu registrador.

El certificado automático es DV. Si un contrato o una norma de compliance exige formalmente OV o EV, no cumple esa exigencia.

Para el paso a paso, mira cómo usar un dominio personalizado y la página de dominios.