Guía de verificación e instalación de certificados SSL.com

Dirigido a: administradores de sistemas y personal técnico que administra integraciones con Facturador.com (Web API, Conector y Timbrado).

Objetivo: validar si el equipo tiene el certificado raíz (y en Windows también el intermedio) de SSL.com que forman la nueva cadena del certificado de facturador.com, e instalarlos si faltan.

Fecha del cambio: sábado 21 de noviembre de 2026.

Antes de instalar certificados, verifique si ya están presentes. Si la validación indica que falta alguno, siga la sección de instalación correspondiente a su sistema.

1) Identificadores oficiales (huellas digitales y descargas)

Certificados de la nueva cadena

Raíz (Root CA): SSL.com TLS RSA Root CA 2022

Huella (SHA‑1): ec2c834072af269510ff0ef203ee3170f6789dca

Vigente hasta: 19/08/2046

Descarga (DER): https://repo-certs.ssl.com/repo/certs/SSLcom-TLS-Root-2022-RSA.der

Intermedio (Subordinate CA): SSL.com TLS Issuing RSA CA R1

Huella (SHA‑1): 9708376b297fae6589e689c27048840b67d3735a

Vigente hasta: 18/10/2032

Descarga (DER): https://repo-certs.ssl.com/repo/certs/SSL.com-TLS-I-RSA-R1.der

✅ Importante

Primera opción: mantener el sistema actualizado por su canal oficial (Windows Update, paquete ca-certificates de su distribución Linux, actualizaciones de Java). Las versiones actualizadas normalmente ya incluyen la raíz; use la sección 3 solo si la validación indica que falta.

La raíz SSL.com TLS RSA Root CA 2022 es la que debe estar presente. El intermedio lo envía nuestro servidor en cada conexión: en Windows se recomienda instalarlo también; en Linux y Java basta con la raíz.

Sistemas antiguos: el certificado de Facturador.com se instala junto con una versión de la raíz SSL.com TLS RSA Root CA 2022 firmada por la raíz anterior SecureTrust CA. Por eso, los sistemas que todavía tengan SecureTrust CA normalmente también podrán conectarse. Aun así se recomienda tener la raíz SSL.com TLS RSA Root CA 2022: la versión firmada por SecureTrust CA vence en diciembre de 2029 y SecureTrust CA ya no se incluye en algunos sistemas actuales. Las validaciones de esta guía buscan la raíz SSL.com TLS RSA Root CA 2022.

Las validaciones se hacen por huella digital (SHA‑1), el método más confiable. Los scripts de instalación verifican la huella antes de instalar.

Los archivos se descargan en formato DER (.der). Windows lo abre con doble clic y los scripts de Linux lo convierten a PEM automáticamente.

Solo necesita estos dos archivos. No es necesario descargar los paquetes .zip del repositorio de SSL.com: incluyen muchos otros certificados.

Referencia oficial: repositorio de SSL.com, sección “SSL.com Root and Intermediate and Test Certificates”: la raíz aparece en “TLS Root CA Certificates” y el intermedio en “Issuing CA Certificates”, con las mismas huellas.

2) Validación (no modifica nada)

2.1 Windows – PowerShell

Qué hace: busca ambas huellas en los almacenes Raíz (Root) e Intermedias (CA) del equipo y del usuario.

Cómo usarlo: abra PowerShell, copie y pegue el script completo y presione Enter (si aparece >>, presione Enter otra vez).

Resultado: tabla y mensaje final OK, OK CON AVISO (falta solo el intermedio) o FALTA LA RAÍZ.

# === VALIDACIÓN (NO MODIFICA NADA) ===
# Todo va dentro de & { } para que se ejecute como un solo bloque al pegarlo
& {
    function Test-CertThumbprint {
        [CmdletBinding()]
        param(
            [Parameter(Mandatory)]
            [string[]] $Thumbprints,
            [string[]] $Stores = @(
               'Cert:\LocalMachine\Root',
                'Cert:\LocalMachine\CA',
                'Cert:\CurrentUser\Root',
                'Cert:\CurrentUser\CA'
            )
        )
        $norm = $Thumbprints | ForEach-Object { $_.ToUpper().Replace(' ', '') }
        $found = @{}; foreach ($tp in $norm) { $found[$tp] = @() }

        foreach ($store in $Stores) {
            try { $certs = Get-ChildItem -Path $store -ErrorAction Stop } catch { continue }
            foreach ($cert in $certs) {
                $tp = ($cert.Thumbprint.ToUpper() -replace '\s','')
                if ($found.ContainsKey($tp)) { $found[$tp] += $store }
            }
        }
        foreach ($k in $norm) {
            [pscustomobject]@{
                Thumbprint = $k
                Presente   = ($found[$k].Count -gt 0)
                Almacenes  = ($found[$k] | Sort-Object -Unique) -join '; '
            }
        }
    }

    # HUELLAS OBJETIVO (NO MODIFICAR)
    $raiz       = 'EC2C834072AF269510FF0EF203EE3170F6789DCA'  # SSL.com TLS RSA Root CA 2022
    $intermedio = '9708376B297FAE6589E689C27048840B67D3735A'  # SSL.com TLS Issuing RSA CA R1

    $res = @(Test-CertThumbprint -Thumbprints $raiz, $intermedio)
    $res | Format-Table -AutoSize | Out-Host

    $okRaiz  = ($res | Where-Object { $_.Thumbprint -eq $raiz }).Presente
    $okInter = ($res | Where-Object { $_.Thumbprint -eq $intermedio }).Presente

    if ($okRaiz -and $okInter) {
        Write-Host "RESULTADO FINAL: OK - La raíz y el intermedio están instalados" -ForegroundColor Green
    } elseif ($okRaiz) {
        Write-Host ("RESULTADO FINAL: OK CON AVISO - La raíz está instalada; " +
                    "se recomienda instalar también el intermedio (sección 3)") -ForegroundColor Yellow
    } else {
        Write-Host "RESULTADO FINAL: FALTA LA RAÍZ - Instale los certificados (sección 3)" -ForegroundColor Red
    }
}

Nota: en equipos Windows con Internet y actualización automática de raíces, la raíz puede no aparecer hasta la primera conexión que la necesite. Si la validación indica FALTA LA RAÍZ, instálela con la sección 3; hacerlo no causa problemas.

2.2 Linux – Bash/OpenSSL

Qué hace: busca la raíz en el almacén de certificados del sistema (Debian/Ubuntu/Alpine, RHEL/CentOS/Rocky/Alma/Fedora y SUSE).

Cómo usarlo: guarde el script como validar-sslcom.sh y ejecute bash validar-sslcom.sh. Puede tardar unos segundos.

Resultado: mensaje final y código de salida (0 = OK, 1 = falta la raíz).

#!/usr/bin/env bash
# === VALIDACIÓN (NO MODIFICA NADA) ===
RAIZ="EC2C834072AF269510FF0EF203EE3170F6789DCA"   # SSL.com TLS RSA Root CA 2022

# Imprime la huella SHA-1 de cada certificado de un archivo (individual o bundle)
huellas() {
  local pem="" linea
  while IFS= read -r linea || [ -n "$linea" ]; do
    case "$linea" in
      *"BEGIN CERTIFICATE"*) pem="$linea"$'\n' ;;
      *"END CERTIFICATE"*)
        [ -z "$pem" ] && continue
        printf '%s%s\n' "$pem" "$linea" \
          | openssl x509 -noout -fingerprint -sha1 2>/dev/null \
          | cut -d= -f2 | tr -d ':' | tr '[:lower:]' '[:upper:]'
        pem="" ;;
      *) [ -n "$pem" ] && pem+="$linea"$'\n' ;;
    esac
  done < "$1"
}

# Bundles del sistema (Debian/Ubuntu/Alpine, RHEL/Fedora, SUSE, otros)
ARCHIVOS=""
for f in /etc/ssl/certs/ca-certificates.crt /etc/pki/tls/certs/ca-bundle.crt \
         /etc/ssl/ca-bundle.pem /etc/ssl/cert.pem; do
  [ -f "$f" ] && ARCHIVOS="$ARCHIVOS $f"
done
[ -z "$ARCHIVOS" ] && ARCHIVOS=$(ls /etc/ssl/certs/*.pem /etc/ssl/certs/*.crt 2>/dev/null)

if for f in $ARCHIVOS; do huellas "$f"; done | grep -qx "$RAIZ"; then
  echo "RESULTADO FINAL: OK - La raíz SSL.com TLS RSA Root CA 2022 está instalada"
  exit 0
else
  echo "RESULTADO FINAL: FALTA LA RAÍZ - Actualice el sistema o instálela (sección 3)"
  exit 1
fi

3) Instalación (si falta)

Principio: los scripts descargan los certificados del repositorio oficial de SSL.com, verifican la huella y solo entonces los instalan. Si la huella no coincide, no instalan nada.

Sin Internet: descargue los archivos .der en otro equipo (enlaces de la sección 1) y cópielos a la carpeta indicada en cada script; el script usará esos archivos.

Qué cambia en su equipo: Windows: se agregan la raíz y el intermedio a los almacenes del equipo y quedan los dos archivos en C:\ProgramData\Certs\SSLcom\. Linux: se agrega un archivo con la raíz al directorio de certificados de confianza. Java: se agrega la raíz al cacerts. No se modifica ninguna otra configuración.

3.1 Windows – PowerShell (Administrador)

Qué hace

Descarga los certificados a C:\ProgramData\Certs\SSLcom\ (o usa los archivos si ya están ahí).

Verifica las huellas e instala la raíz en LocalMachine\Root y el intermedio en LocalMachine\CA.

Revalida al final y muestra el resultado.

Requisitos: PowerShell abierto como administrador. Copie y pegue el script completo y presione Enter (si aparece >>, presione Enter otra vez). Si algo falla, el script se detiene completo y no instala nada.

# === INSTALACIÓN WINDOWS (EJECUTAR POWERSHELL COMO ADMINISTRADOR) ===
# Todo va dentro de & { } para que, si algo falla, se detenga el script completo
& {
    $ErrorActionPreference = 'Stop'
   [Net.ServicePointManager]::SecurityProtocol =
       [Net.ServicePointManager]::SecurityProtocol -bor [Net.SecurityProtocolType]::Tls12

    $base = 'C:\ProgramData\Certs\SSLcom'
    $lista = @(
        @{ Nombre  = 'SSL.com TLS RSA Root CA 2022'
           Archivo = 'SSLcom-TLS-Root-2022-RSA.der'
           Huella  = 'EC2C834072AF269510FF0EF203EE3170F6789DCA'
           Almacen = 'Root' },
        @{ Nombre  = 'SSL.com TLS Issuing RSA CA R1'
           Archivo = 'SSL.com-TLS-I-RSA-R1.der'
           Huella  = '9708376B297FAE6589E689C27048840B67D3735A'
           Almacen = 'CA' }
    )

    New-Item -ItemType Directory -Force -Path $base | Out-Null

    # 1) Descargar y verificar ambas huellas antes de instalar
    foreach ($c in $lista) {
        $ruta = Join-Path $base $c.Archivo
        # Si el archivo ya está en la carpeta (equipos sin Internet), se usa el local
        if (-not (Test-Path $ruta)) {
            $url = 'https://repo-certs.ssl.com/repo/certs/' + $c.Archivo
            Invoke-WebRequest -Uri $url -OutFile $ruta -UseBasicParsing
        }
        $cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2 $ruta
        if ($cert.Thumbprint -ne $c.Huella) {
            throw "La huella de $($c.Nombre) no coincide ($($cert.Thumbprint)). No se instaló nada."
        }
    }

    # 2) Instalar en los almacenes del equipo: raíz -> Root, intermedio -> CA
    foreach ($c in $lista) {
        certutil -addstore -f $c.Almacen (Join-Path $base $c.Archivo) | Out-Null
        if ($LASTEXITCODE -ne 0) { throw "certutil no pudo instalar $($c.Nombre)" }
        Write-Host "Instalado: $($c.Nombre) en LocalMachine\$($c.Almacen)"
    }

    # === VALIDAR ===
    $faltan = @($lista | Where-Object {
        -not (Test-Path ('Cert:\LocalMachine\{0}\{1}' -f $_.Almacen, $_.Huella)) })
    if ($faltan.Count -eq 0) {
        Write-Host "RESULTADO FINAL: OK - Certificados de SSL.com instalados" -ForegroundColor Green
    } else {
        $nombres = ($faltan | ForEach-Object { $_.Nombre }) -join ', '
        Write-Host "RESULTADO FINAL: ERROR - No se detectó: $nombres" -ForegroundColor Red
    }
}

Revertir (solo si se instaló con esta guía)

certutil -delstore CA 9708376B297FAE6589E689C27048840B67D3735A

No elimine la raíz del almacén Root: Windows también la administra con sus actualizaciones y otros servicios pueden depender de ella.

3.2 Windows – instalación manual (sin script)

Descargue los dos archivos .der (sección 1).

Abra el archivo de la raíz con doble clic. En la pestaña Detalles, confirme que la Huella digital es ec2c834072af269510ff0ef203ee3170f6789dca.

En la pestaña General, haga clic en Instalar certificado… → Equipo local → Colocar todos los certificados en el siguiente almacén → Examinar → Entidades de certificación raíz de confianza → Finalizar.

Repita con el intermedio (huella 9708376b297fae6589e689c27048840b67d3735a), eligiendo el almacén Entidades de certificación intermedias.

Ejecute la validación de la sección 2.1.

3.3 Linux – almacén del sistema

Qué hace

Detecta la distribución: Debian/Ubuntu/Alpine, RHEL/CentOS/Rocky/Alma/Fedora o SUSE.

Descarga la raíz (o usa el .der que esté en la carpeta actual), verifica la huella, la copia al directorio de certificados de confianza y actualiza el almacén. El intermedio no se instala en Linux: lo envía nuestro servidor.

Revalida al final con OpenSSL.

Requisitos: curl, openssl y sudo. Guarde el script como instalar-sslcom.sh y ejecute bash instalar-sslcom.sh.

#!/usr/bin/env bash
# === INSTALACIÓN LINUX DE LA RAÍZ (requiere sudo, curl y openssl) ===
set -euo pipefail
ARCHIVO="SSLcom-TLS-Root-2022-RSA.der"
HUELLA="EC2C834072AF269510FF0EF203EE3170F6789DCA"   # SSL.com TLS RSA Root CA 2022
NOMBRE="sslcom-tls-rsa-root-2022.crt"

if [ -d /etc/pki/trust/anchors ] && command -v update-ca-certificates >/dev/null 2>&1; then
  # SUSE
  DESTINO=/etc/pki/trust/anchors;          ACTUALIZAR="update-ca-certificates"
elif command -v update-ca-trust >/dev/null 2>&1; then
  # RHEL / CentOS / Rocky / Alma / Fedora
 DESTINO=/etc/pki/ca-trust/source/anchors; ACTUALIZAR="update-ca-trust extract"
elif command -v update-ca-certificates >/dev/null 2>&1; then
  # Debian / Ubuntu / Alpine
 DESTINO=/usr/local/share/ca-certificates; ACTUALIZAR="update-ca-certificates"
else
  echo "No se encontró update-ca-trust ni update-ca-certificates"; exit 1
fi

TMP=$(mktemp -d); trap 'rm -rf "$TMP"' EXIT

# 1) Obtener el archivo: si ya está en la carpeta actual (sin Internet) se usa el local
if [ -f "$ARCHIVO" ]; then cp "$ARCHIVO" "$TMP/raiz.der"
else curl -fsSL "https://repo-certs.ssl.com/repo/certs/$ARCHIVO" -o "$TMP/raiz.der"; fi

# 2) Verificar la huella antes de instalar
openssl x509 -inform DER -in "$TMP/raiz.der" -out "$TMP/raiz.crt"
fp=$(openssl x509 -in "$TMP/raiz.crt" -noout -fingerprint -sha1 \
     | cut -d= -f2 | tr -d ':' | tr '[:lower:]' '[:upper:]')
if [ "$fp" != "$HUELLA" ]; then
  echo "ERROR: la huella no coincide ($fp). No se instaló nada."; exit 1
fi

# 3) Instalar y actualizar el almacén del sistema
sudo mkdir -p "$DESTINO"
sudo install -m 0644 "$TMP/raiz.crt" "$DESTINO/$NOMBRE" && echo "Copiado: $DESTINO/$NOMBRE"
sudo $ACTUALIZAR >/dev/null 2>&1

# === VALIDAR: OpenSSL debe reconocer la raíz como de confianza ===
if openssl verify "$TMP/raiz.crt" >/dev/null 2>&1; then
  echo "RESULTADO FINAL: OK - La raíz de SSL.com está instalada y es reconocida"
else
  echo "RESULTADO FINAL: ERROR - El sistema no reconoce la raíz de SSL.com"; exit 1
fi AQUI OJO EN EL TEXTO

Revertir (solo si se instaló con esta guía; borra únicamente el archivo agregado por el script)

Debian/Ubuntu/Alpine: sudo rm /usr/local/share/ca-certificates/sslcom-tls-rsa-root-2022.crt && sudo update-ca-certificates --fresh

RHEL/Fedora: sudo rm /etc/pki/ca-trust/source/anchors/sslcom-tls-rsa-root-2022.crt && sudo update-ca-trust extract

SUSE: sudo rm /etc/pki/trust/anchors/sslcom-tls-rsa-root-2022.crt && sudo update-ca-certificates

3.4 Java (cacerts) – si sus aplicaciones Java usan su propio almacén

Java no usa el almacén de Windows ni el de Linux: tiene su propio archivo cacerts. Basta con agregar la raíz. Ejecute los comandos desde la carpeta donde descargó el archivo .der de la raíz.

# Ruta de cacerts (ajuste según su instalación)
CACERTS="$JAVA_HOME/lib/security/cacerts"          # Java 9 o superior
# CACERTS="$JAVA_HOME/jre/lib/security/cacerts"    # Java 8

# Validar: si aparece una línea con EC:2C:83:40:72:AF..., la raíz ya está instalada
keytool -list -v -keystore "$CACERTS" -storepass changeit | grep -i "EC:2C:83:40:72:AF"

# Importar (contraseña por defecto: changeit; cámbiela si fue modificada)
sudo keytool -importcert -noprompt -trustcacerts -alias sslcom-tls-rsa-root-2022 \
  -file SSLcom-TLS-Root-2022-RSA.der -keystore "$CACERTS" -storepass changeit

Windows: use los mismos comandos sin sudo en una consola como administrador, con la ruta "%JAVA_HOME%\lib\security\cacerts" y findstr /i "EC:2C:83:40:72:AF" en lugar de grep.

Debian/Ubuntu: si usa el paquete ca-certificates-java, /etc/ssl/certs/java/cacerts se actualiza solo al ejecutar el script 3.3.

Revertir: keytool -delete -alias sslcom-tls-rsa-root-2022 -keystore "$CACERTS" -storepass changeit

4) Buenas prácticas y notas

Ámbito en Windows: instale en el almacén del equipo (LocalMachine), no del usuario, salvo aplicaciones estrictamente de usuario.

Aplicaciones con almacén propio: además de Java, revise Python con certifi y Node.js (actualícelos con su proceso habitual de actualizaciones) y aplicaciones basadas en NSS/Firefox.

No elimine las raíces de Sectigo/USERTrust ni SecureTrust CA que ya tenga instaladas: otros servicios las siguen usando.

No fije la huella del certificado del servidor (*.facturador.com): se renueva periódicamente. Valide siempre contra la cadena de confianza (raíz e intermedio).

Ambientes sin Internet: distribuya los archivos .der por su canal seguro (SCCM, Intune, Ansible, WinRM, SSH).

Idempotencia: puede ejecutar los scripts varias veces; si el certificado ya existe, no causa problemas.

Auditoría: guarde la salida de los scripts como evidencia.

Huellas de referencia: raíz EC2C834072AF269510FF0EF203EE3170F6789DCA · intermedio 9708376B297FAE6589E689C27048840B67D3735A

5) Solución de problemas

Windows: error al descargar (“No se puede crear un canal seguro SSL/TLS”)

El script ya habilita TLS 1.2. Si persiste (proxy o firewall), descargue los archivos manualmente, cópielos a C:\ProgramData\Certs\SSLcom\ y ejecute de nuevo el script.

“La huella no coincide”

No instale ese archivo. Bórrelo, descárguelo de nuevo desde el repositorio oficial y vuelva a ejecutar el script. Si persiste, contacte a soporte.

Revisar un archivo descargado

Windows: certutil -dump archivo.der · Linux: openssl x509 -inform DER -in archivo.der -noout -subject -fingerprint -sha1

Linux: no se actualiza el almacén

Debian/Ubuntu: sudo update-ca-certificates --fresh · RHEL/Fedora: sudo update-ca-trust extract

Java: “Keystore was tampered with, or password was incorrect”

La contraseña por defecto es changeit; si fue cambiada, use la correcta. “Alias already exists” indica que el certificado ya estaba instalado.

Proxy corporativo

Linux: export https_proxy=http://proxy:puerto antes de ejecutar el script. Windows: descargue los archivos manualmente y cópielos a la carpeta indicada.