Cómo Solucionar el Error ERR_SSL_VERSION_OR_CIPHER_MISMATCH

Los navegadores desactualizados carecen de soporte para las versiones modernas de TLS y los cipher suites. Actualiza tu navegador de inmediato:

1. Chrome: Ve a chrome://settings/help — Chrome detectará e instalará actualizaciones automáticamente.
2. Firefox: Accede a Ayuda → Acerca de Firefox para iniciar una búsqueda automática de actualizaciones.
3. Edge: Abre Configuración → Acerca de Microsoft Edge y sigue las instrucciones de actualización.
4. Tras actualizar, reinicia completamente el navegador y vuelve a intentar acceder a la página.

Una caché SSL corrupta puede provocar fallos persistentes en el handshake incluso en servidores correctamente configurados.

1. En Chrome, abre Configuración → Privacidad y seguridad → Borrar datos de navegación.
2. Marca "Archivos e imágenes en caché", "Cookies" y "Datos de aplicaciones alojadas". Selecciona "Todo el tiempo" como rango.
3. En Windows, limpia también el estado SSL del sistema: abre Opciones de Internet → pestaña Contenido → haz clic en Borrar estado SSL.
4. Reinicia el navegador y recarga la página.

Muchos programas antivirus (Kaspersky, Avast, ESET, Bitdefender) interceptan las conexiones HTTPS para analizarlas. Si su certificado integrado está desactualizado, se activa este error.

1. Abre el panel de configuración de tu antivirus.
2. Busca opciones denominadas "Análisis SSL", "Análisis HTTPS" o "Web Shield".
3. Desactiva temporalmente esta función y recarga el sitio web.
4. Si el error desaparece, actualiza tu antivirus a la última versión; esto suele resolver el conflicto de forma permanente.

Un reloj del sistema incorrecto provoca que la validación del certificado SSL falle, lo que puede manifestarse como un error de discrepancia de cifrado. Asegúrate de que la fecha, hora y zona horaria sean correctas y estén configuradas para sincronizarse automáticamente.

1. Windows: Haz clic derecho en el reloj de la barra de tareas → Ajustar fecha/hora → activa "Establecer la hora automáticamente".
2. macOS: Ve a Configuración del Sistema → General → Fecha y hora → activa la configuración automática.
3. Reinicia el navegador tras corregir la hora.

Los sistemas operativos más antiguos, como Windows 7 o macOS 10.12, no admiten TLS 1.3 de forma nativa. Actualizar el sistema operativo garantiza que la pila TLS subyacente sea lo suficientemente moderna para los servidores web actuales.

1. Windows: Abre Configuración → Windows Update e instala todas las actualizaciones pendientes.
2. macOS: Ve a Configuración del Sistema → General → Actualización de software.
3. Reinicia el sistema tras instalar las actualizaciones.

Los navegadores modernos requieren al menos TLS 1.2. TLS 1.0 y 1.1 han sido oficialmente declarados obsoletos por el IETF y están desactivados en todos los navegadores principales desde 2022.

Configuración de Nginx

nginx.confserver {
    listen 443 ssl;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:
                ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:
                ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
    ssl_prefer_server_ciphers off;
}

Configuración de Apache

/etc/apache2/sites-available/tu-sitio.conf<VirtualHost *:443>
    SSLEngine on
    SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
    SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:
                   ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
    SSLHonorCipherOrder off
</VirtualHost>

Un certificado caducado, autofirmado (en producción) o instalado incorrectamente es un desencadenante habitual. Usa una Autoridad de Certificación (CA) de confianza como Let's Encrypt para obtener certificados gratuitos con renovación automática.

1. Instala Certbot: sudo apt install certbot python3-certbot-nginx
2. Obtén un certificado: sudo certbot --nginx -d tudominio.com -d www.tudominio.com
3. Certbot configurará automáticamente Nginx/Apache y establecerá la renovación automática.
4. Verifica la renovación con: sudo certbot renew --dry-run

SNI permite múltiples certificados SSL en la misma dirección IP. Sin una configuración SNI adecuada, el servidor puede servir el certificado incorrecto — o ningún certificado en absoluto.

Si estás en alojamiento compartido, contacta con tu proveedor de hosting para confirmar que SNI está habilitado para tu dominio. En servidores gestionados por ti mismo, asegúrate de que cada host virtual tenga su propia directiva ssl_certificate y ssl_certificate_key apuntando a los archivos de certificado correctos.

Si tu sitio está detrás de Cloudflare, AWS CloudFront u otro CDN, el error SSL puede originarse en la conexión del CDN a tu servidor de origen — no en el tramo cliente-CDN.

1. En Cloudflare: Ve a SSL/TLS → Descripción general y establece el modo en Completo (estricto).
2. En SSL/TLS → Certificados de borde, establece la versión mínima de TLS en TLS 1.2.
3. Asegúrate de que el servidor de origen también tenga instalado un certificado válido, no solo el borde del CDN.