SSL sin pagar

Esta es la lección más importante del curso. Mucha gente paga cada año entre $50 y $300 USD por un "certificado SSL" que no necesita, porque su hosting o Cloudflare ya le da uno gratis, con el mismo cifrado y el mismo candado. Si te pasó, no te sientas mal: los registradores lo ofrecen en el carrito como si fuera obligatorio.

Al terminar vas a entender qué es un certificado, por qué el gratuito protege igual, cómo funciona HTTPS cuando hay Cloudflare en medio (son dos conexiones, no una), qué modo elegir y cómo resolver los errores típicos.

Concepto: HTTPS, TLS y certificados

HTTPS en una analogía

Imagina que mandas una carta con datos de tu tarjeta por correo normal: cualquier cartero en el camino podría abrirla. HTTPS es mandarla en una caja fuerte que solo el destinatario puede abrir.

• HTTP: el texto viaja tal cual. Tu proveedor de internet, el WiFi del café o cualquiera en medio puede leerlo o modificarlo.
• TLS (antes llamado SSL): el protocolo que cifra la conexión. "SSL" es el nombre viejo; hoy todos usan TLS 1.2 o 1.3, pero el mercado sigue diciendo "certificado SSL".
• HTTPS = HTTP dentro de TLS.

¿Y el certificado?

Cifrar no basta: también necesitas saber que hablas con el verdadero mitienda.com y no con un impostor. El certificado es como una credencial de elector: un documento con tu nombre (el dominio), una llave pública, una fecha de vencimiento y la firma de una autoridad en la que el navegador confía (la CA, autoridad certificadora).

┌──────────────────── Certificado ────────────────────┐
│ Para:        mitienda.com, *.mitienda.com           │
│ Emitido por: Let's Encrypt (R11)                    │  ← la "autoridad"
│ Válido:      01/oct/2026 → 30/dic/2026              │
│ Llave pública: 04:a3:7f:...                         │
│ Firma de la CA: 3a:91:...                           │  ← el navegador la verifica
└─────────────────────────────────────────────────────┘

El navegador revisa tres cosas: que el nombre coincida con el dominio visitado, que no esté vencido y que la firma venga de una CA de confianza. Si todo cuadra, muestra el sitio sin advertencias.

Tipos de certificado: DV, OV y EV

Tipo	Qué verifica la CA	Cuánto tarda	Precio típico	Qué ve el visitante
DV (Domain Validation)	Que controlas el dominio (un archivo en el sitio o un TXT en el DNS)	Segundos	Gratis (Let's Encrypt, Cloudflare, AutoSSL) o barato	Candado / ícono de sitio seguro
OV (Organization Validation)	DV + que la empresa existe (documentos)	Días	$$	Lo mismo que DV
EV (Extended Validation)	OV + verificación más estricta	Días o semanas	$$$	Lo mismo que DV (desde 2019 los navegadores quitaron la barra verde)

Lo importante:

• El cifrado es idéntico. Un certificado DV gratuito usa los mismos algoritmos (RSA o ECDSA, TLS 1.3, AES/ChaCha20) que uno EV de $300. La protección de los datos en tránsito es la misma.
• El candado es el mismo. Chrome, Edge, Firefox y Safari muestran el mismo ícono para DV, OV y EV. Casi ningún visitante revisa los detalles del certificado.
• La "garantía" de $10,000 o $1,000,000 que anuncian los certificados de pago cubre fallas de la CA al emitir, no hackeos de tu sitio. En la práctica, casi nunca se cobra.

¿Entonces nadie necesita OV/EV?

Algunos bancos, gobiernos o empresas con requisitos de cumplimiento (contratos, auditorías) los piden. Para una tienda, un restaurante, un despacho, un blog o una landing: DV gratis es lo correcto.

Los certificados ya no duran años

Desde marzo de 2026, las reglas de la industria (CA/Browser Forum) limitan cualquier certificado público a 200 días de vida, y bajará a 100 días en 2027 y a 47 días en 2029. Aunque pagues "3 años", tendrás que reinstalarlo varias veces. Los certificados gratuitos se renuevan solos; los de pago, normalmente, los renuevas tú a mano. Otra razón para no pagar.

Por qué no necesitas pagar: tres fuentes gratuitas

Fuente	Dónde vive	Quién lo renueva	Notas
Let's Encrypt	En tu servidor (VPS)	Certbot, automático	Ver SSL con Let's Encrypt. 90 días, se renueva solo.
AutoSSL de cPanel	En tu hosting cPanel	cPanel, automático	Usa Let's Encrypt o Sectigo. Casi todos los hostings lo traen activado.
Universal SSL de Cloudflare	En los servidores de Cloudflare	Cloudflare, automático	Cubre mitienda.com y *.mitienda.com cuando el registro está en nube naranja.

Y una cuarta, específica para el tramo con Cloudflare: el Cloudflare Origin Certificate (gratis, hasta 15 años), que verás más abajo.

Revisa en cPanel: Seguridad → SSL/TLS Status (Estado de SSL/TLS). Si ves tus dominios con un candado verde y "AutoSSL Domain Validated", ya tienes certificado gratis en el servidor.

Los DOS tramos de la conexión con Cloudflare

Este es el concepto que lo aclara todo. Con nube naranja no hay una conexión, hay dos:

            TRAMO 1                              TRAMO 2
   (lo que ve el visitante)              (lo que nadie ve)

 ┌───────────┐   HTTPS    ┌──────────────────┐   ¿HTTP o HTTPS?   ┌────────────────────┐
 │ Visitante │ ─────────► │    Cloudflare    │ ─────────────────► │ Tu hosting cPanel  │
 │ (Chrome)  │ ◄───────── │  104.21.x.x      │ ◄───────────────── │ 203.0.113.10       │
 └───────────┘            └──────────────────┘                    └────────────────────┘
   Certificado:             Universal SSL                           Certificado:
   el de Cloudflare         (gratis, automático)                    AutoSSL / Let's Encrypt /
                                                                    Origin Certificate

• Tramo 1 (visitante ↔ Cloudflare): siempre lo cifra Cloudflare con su Universal SSL. El candado que ve el visitante sale de aquí. Por eso "tienes HTTPS" aunque tu servidor no tenga certificado... y ahí está la trampa.
• Tramo 2 (Cloudflare ↔ tu servidor): lo decide el modo SSL/TLS que elijas. Puede ir cifrado y verificado, cifrado sin verificar, o sin cifrar.

Analogía: el visitante le entrega su paquete a la recepcionista (Cloudflare) en una caja fuerte. La pregunta es cómo lo lleva ella a tu oficina: ¿en otra caja fuerte con tu nombre (Full strict), en una caja con candado de cualquiera (Full) o en una bolsa transparente (Flexible)?

Modos SSL/TLS

Ruta: SSL/TLS → Overview / Resumen → Configurar (el nombre puede variar según la versión del panel).

Modo	Tramo 1	Tramo 2	¿Verifica el certificado del servidor?	Veredicto
Off	HTTP	HTTP	—	❌ Nunca. El sitio queda sin HTTPS.
Flexible	HTTPS	HTTP (sin cifrar)	No	⚠️ Peligroso. Candado falso.
Full	HTTPS	HTTPS	No (acepta autofirmados o vencidos)	🟡 Aceptable temporalmente.
Full (strict)	HTTPS	HTTPS	Sí (válido, vigente, con el nombre correcto)	✅ Recomendado

Flexible: el candado que miente

En Flexible, el visitante ve el candado, pero entre Cloudflare y tu servidor los datos viajan en texto plano por internet: contraseñas, formularios, datos de pago. Además provoca el error más famoso de Cloudflare:

ERR_TOO_MANY_REDIRECTS (Flexible + servidor que obliga HTTPS)

1. Visitante ──HTTPS──► Cloudflare ──HTTP──► Servidor
2. Servidor (.htaccess): "esto llegó por HTTP, ve a https://mitienda.com"  (301)
3. Cloudflare le pasa el 301 al visitante
4. Visitante vuelve a pedir https://mitienda.com ──► Cloudflare ──HTTP──► Servidor
5. Servidor: "esto llegó por HTTP, ve a https://..."  (301)
   ... y así para siempre → el navegador se rinde

WordPress con "Dirección del sitio" en https://, Laravel con URL::forceScheme('https') o un .htaccess con redirección a HTTPS producen exactamente este bucle.

Solución: pon un certificado en el servidor (AutoSSL ya suele estar) y cambia a Full (strict).

Flexible solo existe para sitios sin certificado en el origen

Y hoy ningún hosting serio te deja sin certificado gratis. Si alguien te configuró Flexible "porque así funcionó", es hora de corregirlo.

Full vs. Full (strict)

• Full cifra el tramo 2 pero acepta cualquier certificado, incluso uno autofirmado o vencido. Un atacante que pudiera interceptar el tráfico entre Cloudflare y tu servidor podría presentar su propio certificado y Cloudflare no se daría cuenta.
• Full (strict) exige un certificado válido: emitido por una CA pública (Let's Encrypt, Sectigo...) o un Cloudflare Origin Certificate, vigente y que cubra el nombre del dominio.

Usa Full solo como paso intermedio (por ejemplo, mientras AutoSSL termina de emitir) y luego sube a strict.

Modo automático (y el antiguo "recomendador")

En las zonas nuevas, Cloudflare ofrece un modo automático (Automatic SSL/TLS): revisa periódicamente tu servidor y elige el modo más seguro que funcione. Antes existía un "SSL/TLS Recommender" que solo sugería el modo. Es útil, pero no te confíes: si tu servidor no tiene certificado válido, el modo automático puede quedarse en Full o Flexible. Lo profesional es configurar el certificado en el origen y fijar Full (strict) a mano (opción "Personalizado" / Custom).

Paso a paso: dejar mitienda.com en Full (strict)

Opción A: usar AutoSSL de cPanel (lo más simple)

1. En cPanel: Seguridad → SSL/TLS Status.
2. Verifica que mitienda.com y www.mitienda.com tengan certificado válido. Si no, clic en Run AutoSSL (Ejecutar AutoSSL).
3. Si AutoSSL falla con el proxy activo (pasa con algunos proveedores de AutoSSL o reglas de seguridad), pon temporalmente @ y www en nube gris, ejecuta AutoSSL, y vuelve a naranja. Las renovaciones posteriores normalmente funcionan a través del proxy.
4. Comprueba el certificado del origen saltándote Cloudflare (ver la sección de diagnóstico al final).
5. En Cloudflare: SSL/TLS → Overview → Full (strict).

Opción B: Cloudflare Origin Certificate (gratis, 15 años)

Es un certificado que solo Cloudflare reconoce como válido. Los navegadores no confían en él, pero no importa: el navegador nunca lo ve, porque solo se usa en el tramo 2. Ventajas: dura hasta 15 años (no depende de renovaciones) y funciona aunque AutoSSL falle.

1. Crearlo en Cloudflare

1. SSL/TLS → Origin Server / Servidor de origen → Create Certificate (Crear certificado).
2. Deja "Generar llave privada y CSR con Cloudflare", tipo de llave RSA (2048) (la más compatible con cPanel).
3. Nombres: mitienda.com y *.mitienda.com (vienen por defecto).
4. Validez: 15 años.
5. Clic en Create. Verás dos cuadros en formato PEM:

-----BEGIN CERTIFICATE-----
MIIEpDCCA4ygAwIBAgIU... (Origin Certificate)
-----END CERTIFICATE-----

-----BEGIN PRIVATE KEY-----
MIIEvQIBADANBgkqhkiG... (Private Key)
-----END PRIVATE KEY-----

La llave privada se muestra UNA sola vez

Cópiala a un gestor de contraseñas o instálala en ese momento. Si la pierdes, revoca el certificado y crea otro. Nunca la mandes por WhatsApp ni la subas a un repositorio.

2. Instalarlo en cPanel

1. cPanel → Seguridad → SSL/TLS → Administrar sitios SSL (Manage SSL sites / "Install and Manage SSL for your site").
2. En Dominio, elige mitienda.com.
3. Pega el certificado en el cuadro "Certificado (CRT)".
4. Pega la llave privada en "Clave privada (KEY)".
5. El cuadro "Paquete de autoridad de certificación (CABUNDLE)" puede ir vacío, o puedes pegar el certificado raíz de Cloudflare Origin CA (está en la documentación de Cloudflare).
6. Clic en Instalar certificado. Repite para www si cPanel lo lista aparte.

3. Evitar que AutoSSL lo reemplace

AutoSSL ve que el Origin Certificate "no es de confianza pública" y puede sustituirlo por uno suyo. No es grave (el de AutoSSL también sirve para Full strict), pero si quieres conservar el Origin Certificate: SSL/TLS Status → marca los dominios → Exclude from AutoSSL (Excluir de AutoSSL).

4. Activar Full (strict) en Cloudflare y probar.

El Origin Certificate y la nube gris no se llevan

Si algún día pones @ en nube gris, los visitantes verán directamente el Origin Certificate y el navegador mostrará "La conexión no es privada". Si vas a quitar Cloudflare, primero vuelve a AutoSSL.

¿Cuál elijo?

Situación	Usa
Hosting cPanel con AutoSSL funcionando	AutoSSL (cero mantenimiento)
AutoSSL falla detrás de Cloudflare	Origin Certificate
VPS con Nginx/Apache	Let's Encrypt (Certbot) u Origin Certificate
Un subdominio en gris (ej. mail, cpanel)	AutoSSL / Let's Encrypt (el Origin Certificate no sirve ahí)

Ajustes de Edge Certificates

Ruta: SSL/TLS → Edge Certificates / Certificados perimetrales. Aquí también ves tu Universal SSL activo.

Ajuste	Qué hace	Recomendación
Always Use HTTPS	Cloudflare redirige toda petición http:// a https:// (301)	✅ Activar
Automatic HTTPS Rewrites	Reescribe enlaces http:// a https:// dentro del HTML cuando el recurso existe por HTTPS	✅ Activar (ayuda con contenido mixto)
Minimum TLS Version	Rechaza navegadores que solo hablan versiones viejas	TLS 1.2
TLS 1.3	Versión más rápida y segura	✅ Activado
HSTS	Obliga al navegador a usar siempre HTTPS durante un tiempo	⚠️ Solo cuando todo funcione (ver abajo)
Opportunistic Encryption	Mejora para navegadores compatibles	Dejar por defecto

HSTS con advertencia

HSTS (HTTP Strict Transport Security) es una cabecera que le dice al navegador: "durante los próximos X segundos, nunca intentes este sitio por HTTP". Protege contra ataques que degradan la conexión, pero es una promesa difícil de deshacer:

• Si después quitas HTTPS o el certificado falla, los visitantes que ya recibieron la cabecera no podrán entrar (el navegador no deja "continuar de todos modos").
• Con includeSubDomains, aplica a todos los subdominios: si cpanel.mitienda.com o mail.mitienda.com no tienen un certificado válido, dejarán de abrir.
• Preload mete tu dominio en una lista integrada en los navegadores; salir de ella tarda meses.

Plan seguro: activa HSTS con max-age de 1 mes, sin includeSubDomains ni preload; tras unas semanas sin problemas, súbelo a 6–12 meses. Más sobre cabeceras en HTTPS y cabeceras de seguridad.

Redirección http → https en el servidor

Con Always Use HTTPS, Cloudflare ya redirige. Aun así, conviene que el servidor también lo haga (por si un día quitas el proxy). En el .htaccess de public_html:

# Forzar HTTPS (funciona con y sin Cloudflare)
RewriteEngine On

# Solo redirige si la petición NO llegó por HTTPS:
#  - %{HTTPS} es "off" cuando el servidor recibió HTTP directo
#  - X-Forwarded-Proto lo añade Cloudflare con el protocolo original del visitante
RewriteCond %{HTTPS} off
RewriteCond %{HTTP:X-Forwarded-Proto} !https
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

La segunda condición evita el bucle aunque alguien deje Cloudflare en Flexible por error. Si usas WordPress, esta regla va antes del bloque # BEGIN WordPress.

Contenido mixto

Tu página carga por HTTPS, pero dentro tiene una imagen, script o CSS pedido por http://. El navegador bloquea scripts y estilos inseguros y muestra el candado con advertencia o "No es seguro".

Cómo detectarlo: abre DevTools (F12) → pestaña Console. Verás mensajes como Mixed Content: The page at 'https://mitienda.com/' was loaded over HTTPS, but requested an insecure image 'http://mitienda.com/img/logo.png'.

Cómo arreglarlo, de mejor a peor:

1. Corregir en el código/base de datos: cambia http://mitienda.com por https://mitienda.com (o rutas relativas /img/logo.png).
2. En WordPress: Ajustes → Generales → ambas direcciones en https://. Luego reemplaza en la base de datos:

# Con WP-CLI (haz respaldo antes)
wp search-replace 'http://mitienda.com' 'https://mitienda.com' --all-tables --dry-run
wp search-replace 'http://mitienda.com' 'https://mitienda.com' --all-tables

3. Activar Automatic HTTPS Rewrites en Cloudflare.
4. Como red de seguridad, una cabecera que pide al navegador actualizar automáticamente las peticiones:

<IfModule mod_headers.c>
  Header always set Content-Security-Policy "upgrade-insecure-requests"
</IfModule>

Si el recurso viene de otro dominio que no tiene HTTPS, ninguna de estas soluciones funciona: descárgalo y súbelo a tu sitio o busca otra fuente.

Si ya pagaste un certificado

1. No lo borres de golpe. Mientras esté vigente, sirve perfectamente en el servidor para Full (strict). Simplemente no lo renueves.
2. Cancela la renovación automática (las rutas varían):
   • GoDaddy: Mi cuenta → Renovaciones y facturación (o "Mis productos") → busca el certificado SSL → desactiva Renovación automática.
   • Namecheap: Dashboard → SSL Certificates (o Product List) → desactiva Auto-Renew.
   • Hostinger: hPanel → Facturación → Suscripciones → el servicio SSL → Desactivar renovación automática.
   • Tu hosting cPanel: área de clientes (WHMCS u otro) → Servicios → el certificado → Solicitar cancelación "al final del periodo".
3. Revisa también si el hosting te cobra un "SSL Premium" como complemento del plan.
4. Si la compra fue hace pocos días, pregunta por reembolso: algunos proveedores lo dan en un periodo corto.
5. Antes de que venza, confirma que AutoSSL o el Origin Certificate ya están instalados para que no haya ni un minuto sin certificado.

Diagnóstico rápido desde la terminal

# ¿Qué certificado ve el VISITANTE? (tramo 1, debería ser de Cloudflare: Google Trust Services / Let's Encrypt)
echo | openssl s_client -connect mitienda.com:443 -servername mitienda.com 2>/dev/null \
  | openssl x509 -noout -issuer -subject -dates

# ¿Qué certificado tiene TU SERVIDOR? (tramo 2, conectando directo a la IP de origen)
echo | openssl s_client -connect 203.0.113.10:443 -servername mitienda.com 2>/dev/null \
  | openssl x509 -noout -issuer -subject -dates

# Probar el origen con curl saltándose Cloudflare (falla si el certificado no es válido públicamente)
curl -I --resolve mitienda.com:443:203.0.113.10 https://mitienda.com

Si el segundo comando muestra issuer=... CloudFlare Origin ..., tienes el Origin Certificate (el curl del tercer comando dará error de certificado, y es normal). Si muestra Let's Encrypt o Sectigo y fechas vigentes, AutoSSL funciona.

Tabla de errores

Error	Qué significa	Causa típica	Solución
ERR_TOO_MANY_REDIRECTS	Bucle de redirecciones	Modo Flexible + servidor que obliga HTTPS; o reglas de redirección que se contradicen (www ↔ sin www)	Cambia a Full (strict); revisa .htaccess, plugins y Redirect Rules
525 SSL handshake failed	Cloudflare no pudo negociar TLS con tu servidor	El origen no tiene certificado en el 443, el puerto 443 no responde HTTPS, o no hay cifrados compatibles	Instala AutoSSL u Origin Certificate en el dominio correcto; verifica con openssl s_client a la IP de origen
526 Invalid SSL certificate	En Full (strict), el certificado del origen no es válido	Vencido, autofirmado, o no incluye el nombre (www falta)	Renueva/ejecuta AutoSSL o instala un Origin Certificate que cubra mitienda.com y *.mitienda.com
NET::ERR_CERT_COMMON_NAME_INVALID	El certificado que ve el navegador no es para ese nombre	Registro en gris apuntando a un servidor sin certificado para ese subdominio; subdominio de segundo nivel (a.b.mitienda.com) que Universal SSL no cubre; Origin Certificate expuesto	Pon el registro en naranja, o emite certificado en el servidor para ese nombre; evita subdominios de dos niveles
NET::ERR_CERT_AUTHORITY_INVALID	La CA no es de confianza	Origin Certificate o autofirmado visto directamente por el navegador	No uses Origin Certificate en registros grises
"No es seguro" con candado tachado	Contenido mixto o certificado inválido	Recursos http:// en la página	Ver sección de contenido mixto
Universal SSL "Pending Validation"	Cloudflare aún no emite el certificado del tramo 1	Dominio recién activado, o registros CAA que no permiten a las CA de Cloudflare	Espera (minutos a horas); revisa CAA en DNS

Buena práctica: subdominios de un solo nivel

Universal SSL cubre mitienda.com y *.mitienda.com (un nivel: tienda., app., blog.). No cubre dev.app.mitienda.com. Usa dev-app.mitienda.com en su lugar, o paga Advanced Certificate Manager solo si de verdad lo necesitas.

Ejercicios

1. Un cliente paga $89 USD al año por un certificado "Premium SSL" en su registrador. Su sitio está en cPanel con AutoSSL activo y usa Cloudflare con nube naranja. Explícale en 3–4 frases por qué puede dejar de pagarlo.
2. Dibuja (en texto) los dos tramos de la conexión para mitienda.com en modo Flexible y marca dónde viaja la contraseña sin cifrar.
3. El sitio da error 526 justo después de cambiar a Full (strict). ¿Qué dos comandos ejecutas y qué buscas en la salida?
4. Escribe un .htaccess que fuerce HTTPS y además redirija www.mitienda.com a mitienda.com, sin bucles detrás de Cloudflare.
5. Activaste HSTS con includeSubDomains y preload. Una semana después cpanel.mitienda.com (en gris, con certificado autofirmado) ya no abre ni con "Avanzado → continuar". ¿Por qué y qué haces?

Ver solución

1. "El candado lo da Cloudflare gratis hacia tus visitantes, y tu hosting ya tiene un certificado gratuito (AutoSSL) para la conexión entre Cloudflare y el servidor. El certificado de pago usa el mismo cifrado y el navegador muestra el mismo candado; solo cambia quién lo vende. Desactiva la renovación automática y, cuando venza, AutoSSL seguirá protegiendo el sitio sin costo."

Visitante ──HTTPS (cifrado)──► Cloudflare ──HTTP (TEXTO PLANO)──► 203.0.113.10
  usuario=ana&pass=123 ✓ oculto          usuario=ana&pass=123 ✗ visible
                                         (aquí puede leerse o alterarse)

3. Ver el certificado del origen y sus fechas/nombres:

echo | openssl s_client -connect 203.0.113.10:443 -servername mitienda.com 2>/dev/null | openssl x509 -noout -issuer -subject -dates -ext subjectAltName
curl -I --resolve mitienda.com:443:203.0.113.10 https://mitienda.com

Buscas: que notAfter no haya pasado, que el subjectAltName incluya mitienda.com y www.mitienda.com, y que el emisor sea una CA pública o Cloudflare Origin CA. Si es autofirmado o vencido, ejecuta AutoSSL o instala un Origin Certificate. 4.

RewriteEngine On

# 1) www → sin www (conservando https)
RewriteCond %{HTTP_HOST} ^www\.mitienda\.com$ [NC]
RewriteRule ^ https://mitienda.com%{REQUEST_URI} [L,R=301]

# 2) http → https
RewriteCond %{HTTPS} off
RewriteCond %{HTTP:X-Forwarded-Proto} !https
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

5. HSTS con includeSubDomains obliga HTTPS válido en todos los subdominios, y con HSTS el navegador no permite saltarse errores de certificado. Solución: instala un certificado válido en cpanel.mitienda.com (AutoSSL lo cubre si el subdominio existe en cPanel) o entra por la URL del servidor del hosting. Después, quita preload/includeSubDomains si no los necesitas (y si ya enviaste el dominio a la lista de preload, solicita la baja en hstspreload.org; tarda meses).

Resumen

• HTTPS cifra; el certificado prueba identidad. DV gratis = mismo cifrado y mismo candado que OV/EV.
• Fuentes gratis: Let's Encrypt, AutoSSL de cPanel y Universal SSL de Cloudflare (+ Origin Certificate).
• Con Cloudflare hay dos tramos: visitante↔Cloudflare (Universal SSL) y Cloudflare↔servidor (tu certificado).
• Flexible = candado falso y bucles de redirección. Usa Full (strict) con AutoSSL u Origin Certificate.
• Activa Always Use HTTPS, Automatic HTTPS Rewrites y TLS mínimo 1.2; HSTS con calma.
• Si pagaste un certificado: no lo renueves y desactiva la renovación automática.
• Errores clave: 525 (no hay TLS en el origen), 526 (certificado inválido en strict), bucles (Flexible).
• Siguiente: Cloudflare a fondo.