Activar el certificado SSL en DirectAdmin

Pedir el certificado

1. Entrá al panel y abrí "Administrador de cuentas" (Account Manager), y ahí "Certificados SSL" (SSL Certificates).
2. Elegí la opción del certificado gratuito y automático. Si esa opción no aparece en tu panel, el servidor no la tiene habilitada para tu cuenta y se pide por ticket.
3. Escribí el nombre común: el dominio solo, sin www y sin http ni https adelante. Es el campo donde más se equivoca la gente y el pedido falla sin decir por qué.
4. Poné una dirección de correo que leas de verdad. Ahí llegan los avisos de la autoridad certificante cuando algo anda mal.
5. Tildá las entradas que querés que cubra el certificado. Marcá siempre el dominio y su versión con www, y sumá los subdominios que uses.
6. Guardá. El panel pide el certificado en el momento; si todo está en orden, en unos minutos el sitio abre con candado.
7. Entrá a "Configuración del dominio" (Domain Setup), abrí tu dominio y dejá private_html como enlace simbólico a public_html. Es la carpeta que se sirve por HTTPS: si son dos carpetas distintas, el sitio seguro muestra contenido viejo o directamente vacío.

Qué entradas incluir

• El dominio y su versión con www, las dos siempre. Si falta una, el visitante que la escriba ve una advertencia roja a pantalla completa, que asusta más que no tener certificado.
• Los subdominios que la gente abre de verdad: la tienda, el blog, el panel interno.
• Las entradas de correo y de webmail que el panel proponga, si querés que el programa de correo se conecte con el nombre de tu dominio en lugar del nombre del servidor.
• Hay un tope de entradas por certificado, así que si tenés muchos subdominios priorizá los que abren los visitantes y dejá afuera los internos.
• Nada que no resuelva a este servidor. La autoridad valida cada nombre por separado y si uno solo falla, falla el pedido entero: un subdominio que apunta a otro lado o que ya no existe tira abajo el certificado de todo el sitio.

Forzar HTTPS

Tener certificado no redirige nada. El sitio sigue contestando por HTTP a quien entre así, y los buscadores siguen viendo dos versiones del mismo contenido.

1. Entrá a "Administrador de cuentas" y abrí "Configuración del dominio" (Domain Setup).
2. Hacé clic en tu dominio y tildá la opción de forzar SSL con redirección a https. Guardá.
3. Probá entrando por la dirección sin cifrar: tenés que terminar en la versión con https sin haber tocado nada.
4. Si el sitio es un WordPress, entrá además a los ajustes generales y cambiá la dirección del sitio a https. Si no, el propio CMS sigue armando los enlaces con http y se pelea con la redirección, a veces hasta dejar el sitio dando vueltas en un bucle.

Qué es el contenido mixto

El candado del navegador no dice "este sitio tiene certificado". Dice "todo lo que se cargó en esta página vino cifrado". Alcanza con una imagen, una fuente o un script pedido por http para que el navegador lo marque, aunque el certificado esté perfecto.

Cuando es una imagen, el navegador suele bajar el candado a un aviso. Cuando es un script o una hoja de estilos, directamente los bloquea: ahí la página se ve rota, sin estilos o con partes que no funcionan, y el dueño del sitio concluye que el certificado le rompió el sitio. No fue el certificado.

Cómo se arregla

1. Abrí la página en el navegador y mirá la consola de desarrollador. Los avisos de contenido mixto te dicen exactamente qué recurso vino por http.
2. Empezá por la base de datos. En un CMS, la mayoría de las direcciones absolutas con http están guardadas adentro del contenido, no en los archivos.
3. Seguí por el tema y los complementos: recursos externos pedidos por http. Si el origen no ofrece https, hay que reemplazarlo por otro.
4. Revisá los archivos que quedan: plantillas, hojas de estilo con direcciones absolutas y el .htaccess.
5. Vaciá la caché del sitio y la del navegador, y recargá. Las cachés de página guardan el HTML viejo con las direcciones viejas, así que un arreglo correcto puede parecer que no funcionó.

Cuando el certificado no renueva solo

DirectAdmin renueva el certificado por su cuenta, bastante antes del vencimiento, y reintenta si falla. Cuando igual se vence, casi siempre es una de estas causas:

• El dominio dejó de resolver a este servidor, o alguna de las entradas del certificado apunta a otro lado. Al validar cada nombre por separado, una entrada rota hace fallar el pedido completo.
• Quedó en la lista un subdominio que borraste o que se dio de baja. Se saca de las entradas y se vuelve a pedir.
• Hay un registro CAA en la zona del dominio que no autoriza a la autoridad gratuita a emitir. Se ve en los DNS y se corrige ahí.
• La ruta de validación no llega. La autoridad pide un archivo dentro de /.well-known/ y algo en el medio lo tapa: una redirección que manda todo a la portada, una regla vieja del .htaccess, un modo mantenimiento del CMS o un firewall que bloquea lo que no viene del país.
• Se llegó al tope de pedidos que la autoridad permite por dominio y por semana, casi siempre después de reintentar muchas veces seguidas. Ahí no hay nada que arreglar: hay que esperar.

Qué mirar cuando ya venció

1. Mirá el vencimiento real desde el navegador, haciendo clic en el candado. Es el dato que no miente.
2. Revisá el sistema de mensajes del panel: los avisos de renovación fallida quedan ahí.
3. Volvé a pedir el certificado a mano desde la pantalla de certificados SSL. El pedido manual te devuelve el error concreto, que es justamente lo que te falta para arreglarlo.
4. Si el error menciona una entrada en particular, destildala, pedí el certificado sin ella y dejá el sitio andando. Después resolvés esa entrada con calma.