ERR_SSL_VERSION_OR_CIPHER_MISMATCH: cómo solucionarlo

El error ERR_SSL_VERSION_OR_CIPHER_MISMATCH aparece cuando Google Chrome no puede establecer una conexión HTTPS segura con un sitio web. Por lo general, indica que el navegador y el servidor no pueden ponerse de acuerdo sobre una configuración de cifrado compatible, aunque también pueden provocarlo ciertos problemas con los certificados SSL y la configuración de la CDN.

Si estás visitando un sitio web, puede que el problema esté fuera de tu control. Si administras el sitio web, tendrás que comprobar su configuración SSL/TLS.

Esta guía explica qué causa el error y cómo solucionarlo de forma segura.

¿Qué significa ERR_SSL_VERSION_OR_CIPHER_MISMATCH?

Cuando abres un sitio web HTTPS, el navegador y el servidor realizan un protocolo de enlace TLS. Durante este intercambio, negocian un protocolo de cifrado y un conjunto de cifrados antes de transmitir los datos del sitio web de forma segura.

Si no pueden establecer una conexión compatible, Chrome puede mostrar:

ERR_SSL_VERSION_OR_CIPHER_MISMATCH

Firefox puede mostrar un mensaje diferente, como SSL_ERROR_NO_CYPHER_OVERLAP.

Los sitios web actuales deben admitir TLS 1.2 y, preferiblemente, TLS 1.3. Los navegadores actuales ya no admiten protocolos anteriores, como TLS 1.0 y TLS 1.1.

El error no significa necesariamente que hayan pirateado el sitio web. Significa que el navegador no ha podido establecer la conexión segura esperada.

¿Qué causa este error SSL?

Hay varios problemas que pueden impedir que funcione una conexión HTTPS.

• Protocolos TLS obsoletos: el servidor solo admite protocolos de cifrado que los navegadores actuales rechazan.
• Conjuntos de cifrados incompatibles: el navegador y el servidor no tienen algoritmos de cifrado compatibles entre sí.
• Problemas de configuración del certificado: el servidor o la CDN no presenta un certificado adecuado para el nombre de host solicitado.
• Configuración de Cloudflare: puede que un certificado aún se esté activando o que un subdominio no esté cubierto por el certificado actual.
• Software cliente obsoleto: es posible que un navegador, sistema operativo o producto de seguridad de red antiguo no admita la configuración de cifrado del servidor.

La solución adecuada depende de dónde se origine el problema.

Cómo solucionar ERR_SSL_VERSION_OR_CIPHER_MISMATCH

1. Comprueba si el problema afecta a un solo sitio web

Primero, determina si el error aparece en un solo sitio web o en varios.

Si solo falla un sitio web, es más probable que el problema esté relacionado con su servidor, certificado o configuración de la CDN.

Si fallan varios sitios web que no están relacionados entre sí, comprueba el navegador, el sistema operativo, la conexión de red y el software de seguridad.

Prueba a abrir el sitio web afectado en otro navegador actualizado o en otro dispositivo. Esta sencilla prueba puede ayudarte a acotar la causa.

2. Comprueba el certificado SSL del sitio web

Si administras el sitio web, empieza por comprobar su configuración SSL/TLS pública.

Utiliza la herramienta gratuita SSL Labs Server Test para analizar el dominio.

Presta atención a:

• La fecha de caducidad y la validez del certificado.
• Los nombres de host cubiertos, incluidos www y los subdominios.
• La configuración de la cadena de certificados.
• Las versiones de TLS y los conjuntos de cifrados admitidos.

SSL Labs identifica problemas de configuración, pero no actualiza los certificados ni cambia la configuración del servidor.

Si tu certificado ha caducado, renuévalo y confirma que el servidor web o el proxy inverso presenta correctamente el nuevo certificado.

Los problemas con los certificados pueden producir distintos errores en el navegador, así que no des por hecho que todos los avisos sobre certificados se deben a una incompatibilidad de cifrado.

3. Activa las versiones actuales de TLS

Tu servidor web debe admitir protocolos de cifrado actuales.

Para la mayoría de los sitios web públicos, TLS 1.2 y TLS 1.3 ofrecen una base razonable de compatibilidad y seguridad.

Si el servidor solo admite TLS 1.0 o TLS 1.1, los navegadores actuales pueden rechazar la conexión.

Los administradores de sitios web deben comprobar la configuración SSL/TLS en Apache, Nginx o el panel de control de su alojamiento.

Activa conjuntos de cifrados actuales adecuados y elimina los protocolos obsoletos. Si el software del servidor es demasiado antiguo para admitirlos, puede que sea necesario actualizarlo.

Evita activar protocolos de cifrado obsoletos solo para que pueda conectarse un navegador antiguo. Eso reduce la seguridad de los demás visitantes.

4. Comprueba la configuración SSL de Cloudflare

Si tu sitio web utiliza Cloudflare, el error puede proceder de su certificado perimetral en lugar del servidor de origen.

Cloudflare señala varias causas posibles, entre ellas:

• Un certificado que aún no ha terminado de activarse.
• Un certificado personalizado caducado.
• Un nombre de host que no está cubierto por el certificado activo.
• Una configuración incorrecta del proxy para un registro DNS.

Para investigar el problema, abre el panel de Cloudflare y ve a SSL/TLS → Edge Certificates.

Comprueba si el certificado correspondiente está activo y cubre el dominio o subdominio afectado.

Los certificados Universal SSL estándar de Cloudflare suelen cubrir el dominio principal y los subdominios de primer nivel. Un nombre de host de un nivel más profundo, como app.dev.example.com, puede requerir cobertura adicional.

Para disponer de HTTPS de extremo a extremo, asegúrate también de que tu servidor de origen tenga un certificado adecuado. El modo Full (strict) de Cloudflare valida el certificado de origen y es preferible si está bien configurado.

5. Prueba la conexión TLS del servidor

Si tienes acceso a la terminal, OpenSSL puede ayudarte a identificar problemas con el protocolo de enlace.

Ejecuta el siguiente comando y sustituye el dominio de ejemplo por el de tu sitio web:

openssl s_client -connect example.com:443 -servername example.com -tls1_2 -brief

Esta prueba comprueba si el servidor puede negociar una conexión TLS 1.2 y muestra información sobre el resultado.

También puedes probar TLS 1.3:

openssl s_client -connect example.com:443 -servername example.com -tls1_3 -brief

Si falla el protocolo de enlace, la causa puede ser una versión de protocolo no admitida, una configuración incompatible u otro problema de conexión.

Si tu sitio web utiliza varios servidores o direcciones IP, compruébalos individualmente. Un solo servidor mal configurado puede provocar fallos intermitentes de HTTPS.

6. Actualiza el navegador y el sistema operativo

Si estás visitando el sitio web y funciona en otros dispositivos, actualiza el navegador y el sistema operativo.

Un sistema obsoleto puede no admitir los protocolos TLS actuales o las autoridades de certificación de confianza.

Comprueba también la fecha y la hora del dispositivo, ya que una configuración incorrecta puede causar problemas de validación de certificados.

Borrar los datos del navegador puede ayudar a resolver ciertos problemas locales, pero, por lo general, no solucionará una configuración TLS incompatible en el servidor del sitio web.

7. Revisa el software de seguridad sin desactivar la protección

Algunas aplicaciones antivirus, proxies corporativos y herramientas de seguridad de red inspeccionan el tráfico HTTPS. Si esa inspección está mal configurada, puede interferir con las conexiones seguras.

Si el problema solo ocurre en una red administrada, ponte en contacto con el administrador de la red.

Evita desactivar el cortafuegos o la protección antivirus solo para sortear el error. Es mejor identificar y corregir la configuración que causa el conflicto.

Cómo prevenir errores SSL/TLS

Los propietarios de sitios web pueden reducir los problemas futuros con HTTPS mediante un mantenimiento regular:

• Renueva los certificados SSL antes de que caduquen y supervisa las renovaciones automáticas.
• Mantén actualizados los servidores web, los sistemas operativos y las bibliotecas de seguridad.
• Mantén la compatibilidad con TLS 1.2 y TLS 1.3.
• Comprueba qué nombres de host cubre el certificado al añadir dominios o subdominios.
• Prueba HTTPS después de modificar el DNS, la configuración de la CDN o la configuración del servidor.

Si se producen bucles de redirección HTTPS después de instalar un certificado, nuestra guía para solucionar el error ERR_TOO_MANY_REDIRECTS trata ese problema por separado.

Para los propietarios de sitios web que prefieren un alojamiento que incluya la provisión de certificados SSL, el alojamiento compartido de ZYNOO ofrece certificados SSL junto con servicios de alojamiento y asistencia.

Preguntas frecuentes

Conclusión

ERR_SSL_VERSION_OR_CIPHER_MISMATCH indica que no se ha podido establecer una conexión HTTPS segura.

Si estás visitando el sitio web, empieza por probar otro navegador o dispositivo e instalar las actualizaciones de software. Si administras el sitio web, da prioridad a comprobar qué nombres de host cubre el certificado, las versiones de TLS admitidas, los conjuntos de cifrados y la configuración de la CDN.

El objetivo no es sortear las comprobaciones de seguridad del navegador, sino restablecer una conexión HTTPS correctamente configurada.