Download and install root certificates - Certificate Management Service

La mayoría de los entornos cliente, incluidos los navegadores modernos, Windows, macOS, iOS 12+ y Android 8+, incluyen certificados raíz preinstalados de las principales autoridades de certificación (como DigiCert y GlobalSign) que se actualizan automáticamente. Sin embargo, algunos entornos requieren una instalación manual: si observa errores de conexión HTTPS o advertencias insecure en aplicaciones móviles, clientes Java, sistemas operativos antiguos o dispositivos IoT, es probable que la causa sea un certificado raíz faltante. Esta guía proporciona enlaces de descarga por marca de CA e instrucciones paso a paso para la instalación en sistemas operativos, navegadores y Java.

Cuándo instalar manualmente un certificado raíz

Se requiere instalación manual en los siguientes entornos cliente:

Aplicaciones móviles: aplicaciones con almacenes de confianza personalizados que no se sincronizan con la lista de certificados raíz del sistema o del navegador.
Clientes Java: aplicaciones que utilizan un Java KeyStore (cacerts) independiente y no dependen del almacén de confianza del sistema operativo.
Sistemas operativos o navegadores antiguos: sistemas más antiguos, como Windows XP o Android 4.x, que carecen de certificados raíz preinstalados de CA más recientes.
Dispositivos IoT y sistemas embebidos: dispositivos con recursos limitados que vienen con un conjunto reducido de certificados raíz.
Entornos de intranet corporativa: sistemas que utilizan una CA privada cuyo certificado raíz no está incluido en los almacenes de confianza públicos.
Políticas de cumplimiento o seguridad: entornos que requieren control explícito sobre la lista de CA de confianza.

Importante

Para navegadores modernos (Chrome, Firefox, Safari, Edge) y sistemas operativos (Windows 10/11, macOS, Android 8 o posterior, iOS 12 o posterior), los certificados raíz de las principales CA internacionales como DigiCert y GlobalSign están preinstalados y se actualizan automáticamente. No se requiere ninguna acción manual. Para sistemas antiguos como Android 4.4.2, instale manualmente el certificado raíz cruzado correspondiente para mantener una cadena de confianza completa.

Descargar certificados raíz

Si va a instalar un certificado raíz de una CA empresarial interna, omita esta sección y vaya directamente a Install root certificates .

Descargue el certificado raíz que corresponda a la marca del certificado SSL (por ejemplo, DigiCert o GeoTrust) y al tipo de certificado (DV/OV/EV) desplegado en su servidor. Por ejemplo, si su servidor utiliza un certificado SSL OV de DigiCert, descargue el certificado raíz OV de DigiCert.

Enlaces de descarga de certificados raíz por marca

Marca del certificado	Descarga del certificado raíz
DigiCert	Nota . A partir del 1 de diciembre de 2024, los certificados SSL de las marcas DigiCert se emiten desde una nueva cadena de certificados raíz e intermedios. Para obtener más información, consulte Announcement on DigiCert Root Certificate Replacement. Certificados raíz DV/OV de DigiCert Digicert_Global_Root_G2_DV_OV (Nuevo – Raíz cruzada) DigiCert_Global_Root_G2_DV_OV (Antiguo – Transición) DigiCert_DV_OV_ROOT (Antiguo) Certificado raíz EV de DigiCert DigiCert_EV_ROOT
GeoTrust Rapid GlobalSign	GlobalSign_DV_OV_ROOT GlobalSign R1-R3 Cross-root
Alibaba Cloud	Nota A partir del 18 de septiembre de 2025, los nuevos certificados SSL de la marca Alibaba Cloud se emitirán desde una nueva cadena de certificados raíz e intermedios. Para obtener más información, consulte [Announcement] Alibaba Brand Certificate Root Update Announcement. TLS Root R46 Root Certificate GlobalSign Cross Certificate R3-R46 Alibaba Cloud GCC R46 AlphaSSL CA 2025

Compatibilidad de certificados raíz de DigiCert

Utilice esta tabla para identificar qué certificado raíz de DigiCert debe instalar según su sistema operativo o versión del navegador.

Sistema operativo o navegador	DigiCert Global Root CA (antiguo)	DigiCert Global Root G2 (antiguo – transición)	DigiCert Global Root G2 (nuevo – raíz cruzada)
Huella digital	`a8985d3a65e5e5c4b2d7d66d40c6dd2fb19c5436`	`df3c24f9bfd666761b268073fe06d1cc8d4f82a4`	`8bf7f178a745a11bac6ae5b586fc1838eadcb2cf`
Windows (internet)	Windows XP SP3+
Windows (red interna)	Windows 7+	Windows 8+	Windows 7+
macOS	Mac OS X 10.6+	Mac OS X 10.10+	Mac OS X 10.6+
iOS	iOS 4.0+	iOS 7.0+	iOS 4.0+
Firefox	Firefox 2+	Firefox 32+	Firefox 2+
NSS	NSS 3.11.8	NSS 3.16.3	NSS 3.11.8
Android	Android 1.1+	Android 5.0+	Android 1.1+
Chrome	A partir de Chrome 108, Chrome utiliza su propio almacén de confianza. Las versiones anteriores dependen del almacén de confianza del sistema operativo.
Java	JRE 1.4.2_17+	JRE 1.8.0_131+	JRE 1.4.2_17+

Lista de permitidos de endpoints de autoridad de certificación (CA)

Cuando un cliente recibe un certificado SSL/TLS, valida el certificado contactando a la CA emisora a través de endpoints específicos. Se utilizan tres tipos de endpoints:

Authority Information Access (AIA): descarga certificados de CA intermedios para construir la cadena de certificados completa.
Online Certificate Status Protocol (OCSP): comprueba en tiempo real si un certificado ha sido revocado.
Certificate Revocation List (CRL): descarga una lista de certificados revocados publicada por la CA.

Si sus servidores o clientes están detrás de un firewall o proxy que restringe el tráfico HTTP saliente (puerto 80), agregue los siguientes dominios de endpoints de CA a su lista de permitidos del firewall. De lo contrario, la validación del certificado podría fallar y provocar errores en el protocolo de enlace TLS o fallos en la conexión HTTPS.

Endpoints de DigiCert

DigiCert y sus submarcas (RapidSSL y GeoTrust) utilizan los siguientes endpoints.

Protocolo	Endpoints
AIA	`cacerts.digicert.cn` `cacerts.digicert.com` `cacerts.rapidssl.com` `cacerts.geotrust.com`
OCSP	`ocsp.digicert.cn` `ocsp.digicert.com` `status.rapidssl.com` `status.geotrust.com`
CRL	`crl.digicert.cn` `crl3.digicert.com` `crl4.digicert.com` `cdp.rapidssl.com` `cdp.geotrust.com`

Para consultar la lista completa de endpoints, véase Certificados raíz de DigiCert.

Endpoints de GlobalSign

GlobalSign utiliza los siguientes endpoints.

Protocolo	Endpoints
AIA	`secure.globalsign.com/cacert`
OCSP	`ocsp.globalsign.com`
CRL	`crl.globalsign.com`

Para consultar la lista completa de endpoints, véase Certificados raíz de GlobalSign.

Antes de empezar

Antes de instalar un certificado raíz, asegúrese de cumplir con los siguientes requisitos previos:

Ha descargado el archivo de certificado raíz correcto para la marca y el tipo de su certificado. Para ver los enlaces de descarga, consulte las tablas de la sección anterior.
Cuenta con privilegios de administrador o root en el sistema destino.
El sistema operativo o navegador destino cumple con los requisitos mínimos de versión indicados en la tabla de compatibilidad.

Instalar certificados raíz

Instalación en un sistema operativo

Windows

Los siguientes pasos utilizan Windows 10 como ejemplo.

Abra la Consola de administración Microsoft (MMC). Presione Win+R para abrir el cuadro de diálogo Run. Introduzca mmc y haga clic en OK.
Agregue el complemento Certificates.
1. En la barra de menús, elija File > Add/Remove Snap-in.
2. En el cuadro de diálogo Add or Remove Snap-ins, seleccione Certificates en la lista Available snap-ins y haga clic en Add.
3. En el cuadro de diálogo Certificates snap-in, seleccione Computer account y luego haga clic en Next.
4. En el cuadro de diálogo Select Computer, seleccione Local computer (the computer this console is running on) y haga clic en Finish.
Importe el certificado raíz.
1. En el panel de navegación izquierdo, expanda Certificates (Local Computer).
2. Seleccione la carpeta de destino, por ejemplo, Enterprise Trust. Haga clic derecho en la carpeta y elija All Tasks > Import.
  Nota
  - Personal: almacena certificados del usuario o computadora actual.
  - Trusted Root Certification Authorities: certificados raíz de CA en las que el sistema operativo confía de forma predeterminada.
  - Intermediate Certification Authorities: certificados intermedios que vinculan los certificados de servidor con una raíz de confianza.
  - Enterprise Trust: certificados de una CA empresarial interna, de confianza solo dentro de la red de la organización.
3. Siga las instrucciones en pantalla para completar la importación.

macOS

Los siguientes pasos utilizan macOS 12.5.1 como ejemplo.

Abra Launchpad.
En el cuadro de búsqueda de Launchpad, introduzca Keychain Access y haga clic en Keychain Access.
En la página Keychain Access, haga clic en la pestaña Certificates.
Arrastre el certificado raíz descargado a un área vacía en la pestaña Certificates. macOS verifica automáticamente el certificado.
Haga clic derecho en el certificado recién agregado y seleccione Get Info.
En la página de información del certificado, seleccione Always Trust y haga clic en el icono .

Linux

Las rutas de instalación y los comandos varían según la distribución de Linux. Las siguientes secciones cubren CentOS/Red Hat y Ubuntu/Debian.

CentOS/Red Hat

Instale el paquete de certificados CA del sistema.
```
sudo yum install ca-certificates
```
Copie el archivo del certificado raíz al directorio de certificados del sistema.
```
/etc/pki/ca-trust/source/anchors/
```
Actualice el almacén de confianza de certificados.
```
sudo update-ca-trust extract
```
El sistema regenera el paquete de confianza en /etc/pki/tls/certs/ca-bundle.crt.
Verifique la instalación mediante OpenSSL.
```
openssl s_client -connect example.com:443 -CAfile /etc/pki/tls/certs/ca-bundle.crt
```
La salida debe incluir su cadena de certificados. Una verificación exitosa termina con Verify return code: 0 (ok).

Ubuntu/Debian

Instale el paquete de certificados CA del sistema.
```
sudo apt install ca-certificates
```
Copie el archivo del certificado raíz al directorio de certificados del sistema.
```
/usr/local/share/ca-certificates/
```
Actualice el almacén de confianza de certificados.
```
sudo update-ca-certificates
```
El sistema fusiona el nuevo certificado en /etc/ssl/certs/ca-certificates.crt.

Verifique la instalación.

Compruebe que el archivo del certificado sea de confianza:
```
# Replace your-certificate.crt with your root certificate filename.
openssl verify /usr/local/share/ca-certificates/your-certificate.crt
```
Si la salida es /usr/local/share/ca-certificates/your-certificate.crt: OK, la verificación fue exitosa.

Compruebe que se haya creado el enlace simbólico:

# Replace your-certificate with your root certificate filename.
ls -la /etc/ssl/certs | grep your-certificate

Instalación en un navegador

Chrome, Edge e Internet Explorer en Windows utilizan el almacén de confianza del sistema operativo. Para estos navegadores, importe el certificado raíz en el sistema operativo en lugar de en un navegador individual. Los pasos de esta sección aplican únicamente cuando necesita configurar un certificado raíz para un navegador específico.

Google Chrome

Nota

Esta sección utiliza Windows 10 y Chrome 138.0.7204.102 (64 bits) como ejemplo.

Importe el certificado raíz.
1. Abra Chrome, haga clic en el icono en la esquina superior derecha y seleccione Settings.
2. En el panel de navegación izquierdo, haga clic en Privacy and security.
3. Haga clic en Security > Manage certificates > Manage certificates imported from Windows.
4. En la ventana del Administrador de certificados, haga clic en la pestaña Trusted Root Certification Authorities.
5. Haga clic en Import en la esquina inferior izquierda. Siga las indicaciones para seleccionar e importar el archivo del certificado raíz. Un mensaje Import Successful confirma la finalización.
Verifique la importación.
1. Confirme que el certificado raíz aparece en la ruta seleccionada.
2. Reinicie Chrome.
3. Acceda al sitio web objetivo y confirme que no aparecen advertencias de "certificado no confiable".

Microsoft Edge

Nota

Esta sección utiliza Windows 10 y Microsoft Edge 92.0.902.67 (64 bits) como ejemplo.

Importe el certificado raíz.
1. Abra Edge, haga clic en el icono en la esquina superior derecha y seleccione Settings.
2. Haga clic en la pestaña Privacy, search, and services.
3. Desplácese hasta la sección Security y haga clic en Manage certificates. Se abrirá el Administrador de certificados de Windows.
4. Haga clic en la pestaña Trusted Root Certification Authorities.
5. Haga clic en Import en la esquina inferior izquierda. Siga las indicaciones para importar el archivo del certificado raíz. Un mensaje Import Successful confirma la finalización.
Verifique la importación.
1. Confirme que el certificado raíz aparece en la ruta seleccionada.
2. Reinicie Edge.
3. Acceda al sitio web objetivo y confirme que no aparecen advertencias de "certificado no confiable".

Mozilla Firefox

Nota

Esta sección utiliza Windows 10 y Firefox 142.0.1 (64 bits) como ejemplo.

Importe el certificado raíz.
1. Abra Firefox, haga clic en el icono en la esquina superior derecha y seleccione Settings.
2. Haga clic en la pestaña Privacy & Security.
3. Desplácese hasta la sección Certificates y haga clic en View Certificates. Se abrirá el Administrador de certificados.
4. Haga clic en la pestaña Authorities y luego en Import.
5. Siga las indicaciones para seleccionar e importar el archivo del certificado raíz.
Verifique la importación.
1. En la pestaña Authorities, revise la columna Certificate Name para confirmar que el certificado raíz aparece en la lista.
2. Reinicie Firefox.
3. Acceda al sitio web objetivo y confirme que no aparecen advertencias de "certificado no confiable".

Internet Explorer

Nota

Esta sección utiliza Windows 10 e Internet Explorer 11.1.20348.0 como ejemplo.

Importe el certificado raíz.
1. Abra Internet Explorer, haga clic en el icono en la esquina superior derecha y seleccione Internet Options.
2. En la ventana Internet Options, haga clic en la pestaña Content.
3. Haga clic en Certificates para abrir la ventana de Certificados.
4. Haga clic en la pestaña Trusted Root Certification Authorities.
5. Haga clic en Import en la esquina inferior izquierda. Siga las indicaciones para importar el archivo del certificado raíz.
Verifique la importación.
1. Confirme que el certificado raíz aparece en la ruta seleccionada.
2. Reinicie Internet Explorer.
3. Acceda al sitio web objetivo y confirme que no aparecen advertencias de "certificado no confiable".

Riesgos y consideraciones de mantenimiento

Riesgos de seguridad

Fuentes no confiables: descargue certificados raíz únicamente de canales oficiales o autorizados. Instalar un certificado raíz de una fuente desconocida puede permitir la inyección de malware o ataques de intermediario, lo que compromete gravemente la seguridad del sistema.
Errores operativos: importar un certificado en la ubicación incorrecta del almacén o utilizar un archivo con formato incorrecto puede interrumpir la cadena de confianza del sistema o causar fallos en la conexión de aplicaciones.

Compatibilidad y mantenimiento

Limitaciones de versión del sistema o aplicación: algunos sistemas operativos o aplicaciones antiguos no admiten algoritmos de certificados raíz más recientes y pueden requerir una actualización para garantizar la compatibilidad.
Vencimiento del certificado raíz: los certificados raíz tienen una fecha de vencimiento. Cuando una CA emite un nuevo certificado raíz o uno existente está por vencer, actualice el certificado raíz en todos los clientes relevantes para mantener una cadena de confianza válida.

Despliegue masivo

Instalar manualmente certificados raíz en muchos dispositivos heterogéneos es ineficiente y propenso a errores. Para despliegues a gran escala, utilice scripts automatizados o herramientas de gestión de configuración y administración de dispositivos.

Preguntas frecuentes

¿Necesito redesplegar el certificado raíz después de que venza mi certificado SSL?

Depende de su entorno cliente.

Para navegadores y sistemas operativos principales donde el SO gestiona las actualizaciones de certificados raíz automáticamente, no se requiere ninguna acción. La cadena de confianza permanece válida siempre que su nuevo certificado SSL esté encadenado a una raíz de confianza.

Para entornos sin certificados raíz preinstalados, como aplicaciones móviles con almacenes de confianza integrados, clientes Java independientes, navegadores antiguos o dispositivos IoT, es posible que deba redesplegar en dos situaciones: si cambió la marca o el tipo de certificado (DV/OV/EV) al renovar, o si el certificado raíz original venció (o la CA anunció un cambio a una nueva raíz). En estos casos, descargue el certificado raíz correspondiente e instálelo en los clientes afectados tal como se describe en esta guía.

¿Cómo instalo un certificado intermedio?

El proceso es el mismo que para instalar un certificado raíz. Siga los pasos en Install root certificates, pero seleccione Intermediate Certification Authorities (o Authorities en Firefox) como almacén de destino en lugar de Trusted Root Certification Authorities.

El cliente Java no logra acceder a HTTPS

Esto generalmente se debe a que falta un certificado raíz o intermedio en el almacén de confianza de Java Runtime Environment (JRE). Para consultar los pasos de solución de problemas, véase Java client fails to access HTTPS.

¿Qué sistemas operativos son compatibles con los certificados de DigiCert y GeoTrust?

Certificate brand	Root certificate	Windows	macOS X	Android	Java
Certificados DV de DigiCert	Nueva raíz (DigiCert Global Root G2)	Windows 8 y posteriores	OS X 10.7 y posteriores	Android 4.4.2 y posteriores	Java 1.8 y posteriores
Certificados DV de DigiCert	Raíz antigua (DigiCert Global Root CA)	Windows 7 y posteriores	OS X 10.5 y posteriores	Android 2.3.3 y posteriores	Java 1.6.05 y posteriores
Certificados DV de Rapid	Nueva raíz (DigiCert Global Root G2)	Windows 8 y posteriores	OS X 10.7 y posteriores	Android 4.4.2 y posteriores	Java 1.8 y posteriores
Certificados OV y EV de GeoTrust	Raíz antigua (DigiCert Global Root CA)	Windows 7 y posteriores	OS X 10.5 y posteriores	Android 2.3.3 y posteriores	Java 1.6.05 y posteriores

Nota

A partir del mediados de marzo de 2023, los certificados SSL de las marcas DigiCert y GeoTrust se emiten a través de la nueva raíz, DigiCert Global Root G2. Para obtener más información, consulte Announcement: DigiCert Root Certificate Upgrade.
Debido a la fragmentación de Android, algunos modelos de dispositivos con Android 4.4–5.0 pueden presentar problemas de compatibilidad.
Es posible que algunas versiones de Java no incluyan el certificado raíz de forma predeterminada; verifique su entorno específico.