Shopify con SSL pendiente: diagnosticar DNS y HTTPS

Si tu dominio ya está configurado en Shopify pero aparece «SSL pendiente», «TLS pendiente», «Necesita atención» o lleva al sitio anterior, el siguiente paso no es volver a conectar todo: es identificar qué está fallando. Esta guía de diagnóstico ayuda a separar errores de resolución DNS, certificados HTTPS, dominios con www, proxies y servicios de correo. Empieza con comprobaciones de solo lectura; cambia registros únicamente cuando tengas evidencia.

Esta no es la guía de instalación inicial. Si todavía no agregaste el dominio a la tienda, sigue primero nuestro tutorial para conectar un dominio externo a Shopify. Aquí nos enfocamos en una situación distinta: ya intentaste conectarlo y el navegador o Shopify reporta un fallo que debes diagnosticar sin afectar otros servicios.

1. Identifica exactamente qué síntoma tiene tu dominio

Antes de abrir el panel DNS, escribe el nombre del dominio, registra la hora de tu último cambio y anota qué ocurre tanto con tudominio.mx como con www.tudominio.mx. Prueba también desde una conexión diferente. Los mensajes no equivalen entre sí: una dirección que no existe para DNS, una que apunta a otro servidor y una que muestra un error de certificado exigen soluciones distintas.

Si el error es una página de tienda inactiva, acceso restringido o una pantalla de contraseña de Shopify, DNS podría estar funcionando correctamente. En ese caso revisa la configuración de la tienda y no alteres la zona DNS para solucionar una condición de acceso.

2. Comprueba dónde está alojada la zona DNS autoritativa

El sitio donde pagas la renovación del dominio no siempre aloja sus registros. Si modificaste el registro A en un panel que no administra los servidores de nombres activos, ese cambio no se publicará. Consulta los nameservers del dominio en una herramienta de DNS o, si tienes una terminal disponible, ejecuta una consulta de solo lectura.

dig NS tudominio.example +short
dig A tudominio.example +short
dig AAAA tudominio.example +short
dig CNAME www.tudominio.example +short

Sustituye tudominio.example por tu dominio real. Si no tienes dig, puedes utilizar una herramienta pública de consultas DNS o nslookup. No publiques capturas que incluyan credenciales del registrador. Un resultado vacío no prueba por sí solo que el dominio esté roto: ciertos tipos de registro no tienen por qué existir en todos los nombres; debes interpretar cada consulta según el caso y la documentación de Shopify.

Compara la respuesta pública con los valores que muestra el panel del proveedor DNS activo. Si no coinciden, revisa que hayas editado la zona correcta, que hayas guardado el cambio y que no haya registros anteriores en conflicto. Si acabas de modificar algo, distingue entre un registro aún en caché y un dato realmente incorrecto en el servidor autoritativo.

3. Revisa los destinos que Shopify solicita, sin sobrescribir valores válidos

Abre Configuración → Dominios en tu administrador de Shopify, entra al dominio con la advertencia y compara las indicaciones mostradas con la zona DNS. La guía oficial de conexión manual contiene las referencias para A, AAAA y CNAME. Shopify puede reconocer una IP distinta según el caso o región: no reemplaces una dirección que el panel ya señala como correcta solo porque no coincide con una captura antigua.

El error habitual en www es conservar un destino del hosting anterior, duplicar entradas incompatibles o añadir por equivocación un nombre completo en un panel que ya agrega el dominio al final. Un CNAME se configura para un nombre específico y no debe coexistir con registros contradictorios de ese mismo nombre. En el dominio raíz, verifica por separado IPv4 e IPv6: un cliente puede usar una familia de direcciones diferente de otro.

Evita borrar registros MX o TXT de correo al reparar la web. Los registros que atienden el correo empresarial y los que llevan visitantes a la tienda cumplen funciones diferentes. Si utilizas un proveedor de correo, conserva su configuración validada y pide ayuda antes de eliminar entradas que no reconoces.

4. Qué investigar cuando Shopify dice «SSL pendiente» o «TLS pendiente»

La propagación DNS y la emisión de un certificado no son el mismo proceso. Shopify administra certificados para los dominios conectados, pero necesita poder verificar la configuración correcta. Revisa primero que el nombre de dominio sea el esperado y que sus registros web estén reconocidos por Shopify. La guía oficial de solución de problemas permite contrastar los avisos exactos.

1. Confirma el estado en Shopify. Copia literalmente el mensaje y la fecha del último cambio DNS. No supongas que cualquier aviso rojo significa falta de SSL.
2. Comprueba las dos variantes. El dominio raíz y www pueden resolver de manera diferente; examina las que hayas conectado.
3. Descarta destinos antiguos. Si una de las variantes todavía llega al hosting previo, compara las respuestas de distintos resolutores y la zona autoritativa.
4. Revisa si hay un proxy delante de Shopify. Un proxy o un servicio que modifica la resolución puede impedir el proceso esperado de verificación y certificado.
5. Examina CAA si lo configuraste. Un registro CAA restrictivo puede limitar qué autoridades pueden emitir certificados para el nombre.
6. Escala con evidencia. Si los registros son correctos y el estado no cambia después del plazo de propagación informado por Shopify, utiliza el soporte oficial.

La documentación de Shopify contempla que algunos cambios de DNS puedan tardar hasta 48 horas en completar su propagación. Esto no significa que todos los errores de certificado se solucionen esperando: si un registro sigue apuntando al lugar incorrecto o hay un proxy incompatible, el tiempo por sí solo no repara esa configuración.

5. Cloudflare, DNSSEC y CAA: tres causas que requieren cuidado

Proxy activo frente a servicio DNS solamente

Usar un proveedor como Cloudflare para alojar la zona DNS no implica necesariamente que el tráfico pase por su proxy. En algunas configuraciones el proxy cambia lo que ve Shopify y complica la conexión o la emisión del certificado. Contrasta el estado del proxy con las indicaciones del panel de Shopify y las instrucciones de tu proveedor. No deshabilites reglas de seguridad generales sin conocer qué servicios dependen de ellas; haz cambios delimitados y documentados.

CAA: restricciones sobre quién puede emitir certificados

CAA es un tipo de registro DNS con el que un dominio puede restringir las autoridades certificadoras. Si existe una restricción personalizada, podría impedir la emisión del certificado esperado. Consulta los registros CAA en el proveedor DNS y compara con la documentación oficial de conexiones seguras. No copies una lista de autoridades de una publicación antigua: confirma la información vigente en la página oficial antes de editar CAA.

dig CAA tudominio.example +short
dig DS tudominio.example +short

DNSSEC: detecta errores antes de desactivar nada

DNSSEC es un mecanismo para validar respuestas DNS. Un registro DS desactualizado o una configuración inconsistente entre registrador y proveedor de DNS puede causar fallos de resolución. Un resultado de dig DS es una pista, no un diagnóstico completo; se necesita contrastarlo con el proveedor. Si el registrador y el DNS están administrados por equipos distintos, coordina la corrección. No desactives DNSSEC a ciegas: podrías alterar la seguridad y la disponibilidad de otros servicios.

6. Comprueba HTTPS y redirecciones después del DNS

Una vez que el DNS coincide con el destino que Shopify espera, abre en una ventana privada las variantes https://tudominio.mx y https://www.tudominio.mx. Observa si el navegador advierte sobre el certificado, si la URL cambia inesperadamente o si se muestra la tienda correcta. Comprueba también cuál dominio configuraste como principal dentro de Shopify.

Para una revisión técnica sin alterar la tienda, puedes consultar únicamente las cabeceras de respuesta. Algunos servidores pueden responder distinto a una solicitud HEAD; si eso sucede, verifica también con un navegador antes de concluir que hay un fallo.

curl -I https://tudominio.example
curl -I https://www.tudominio.example

Revisa los códigos HTTP y el encabezado Location cuando hay una redirección. Una redirección no es necesariamente un problema: puede ser la forma correcta de enviar una variante al dominio principal. El riesgo aparece cuando forma un bucle, redirige a la web anterior o termina en un nombre cuyo certificado no corresponde. También distingue entre un fallo del dominio y errores de recursos mixtos cuando una página HTTPS intenta cargar archivos externos por HTTP.

7. Casos de diagnóstico que evitan cambios innecesarios

Caso A: raíz correcta, www incorrecto

Si el dominio sin www abre la tienda y la variante con www lleva al hosting antiguo, consulta el CNAME de www y los registros que pudieran competir en ese nombre. No cambies el registro A del dominio raíz sin evidencia: podrías romper la parte que sí funciona.

Caso B: tienda antigua visible solo en algunas conexiones

Si desde una red ves Shopify y desde otra el hosting anterior, documenta la respuesta DNS pública que utiliza cada una y el momento de la actualización. Verifica primero los servidores de nombres y el TTL. Vaciar la caché de un solo navegador no corrige los registros publicados por el proveedor.

Caso C: SSL pendiente, DNS aparentemente correcto

Si Shopify reconoce A, AAAA y CNAME pero continúa con el certificado pendiente, revisa los avisos detallados, restricciones CAA, posibles proxies y tiempo transcurrido. Si la situación persiste, entrega al soporte el mensaje exacto y las comprobaciones; evita comprar un certificado externo por impulso, porque Shopify gestiona el certificado para los dominios conectados.

Caso D: el correo corporativo dejó de funcionar

Un error de correo inmediatamente después de modificar DNS puede deberse a MX o TXT cambiados por accidente. Compara la zona actual con el respaldo inicial y con la configuración oficial del proveedor de correo. Para corregirlo no hace falta volver a apuntar la tienda al servidor anterior. Prueba recepción y envío por separado.

8. Evidencia mínima para pedir soporte sin compartir información sensible

Cuando la incidencia supera las comprobaciones básicas, prepara un reporte breve: nombre del dominio, registrador, proveedor DNS autoritativo, nameservers, hora del último cambio, texto exacto del aviso en Shopify, resultados públicos de A, AAAA y CNAME, si existe proxy y si afecta a raíz, www o ambos. Aclara si el problema existe en varias redes y adjunta capturas del aviso sin datos de clientes.

Para problemas de dominio y certificados de la tienda, consulta primero el centro de ayuda de Shopify. Cuando la respuesta pública DNS no coincide con lo guardado en la zona, el proveedor de DNS puede ser el contacto más adecuado. Nunca compartas contraseñas, tokens, códigos de recuperación o accesos administrativos en una publicación abierta.

Checklist final antes de declarar resuelto el incidente

1. El dominio raíz y la variante www resuelven según la configuración que Shopify reconoce.
2. La tienda abre por HTTPS y el navegador no presenta advertencias de certificado.
3. La variante secundaria redirige correctamente al dominio principal si así se configuró.
4. Se ven productos y carrito desde móvil y escritorio, sin bucles de redirección.
5. El correo corporativo, cuando exista, sigue recibiendo y enviando mensajes.
6. El incidente queda documentado con fecha, causa identificada y registros modificados.

Si la tienda todavía no estaba conectada, utiliza la guía de configuración DNS de Shopify desde cero en lugar de aplicar cambios de diagnóstico a ciegas. Para una revisión más amplia del comercio, sigue el checklist de lanzamiento de una tienda Shopify en México.

Si aún evalúas la plataforma para iniciar tu tienda, puedes consultar Shopify desde nuestro enlace de referido. Divulgación: ENT Terminal puede recibir una comisión por una contratación elegible. El uso de ese enlace no cambia las comprobaciones técnicas de esta guía.

Conclusión: la forma más segura de resolver un error DNS o TLS es observar primero el síntoma real, comprobar los registros publicados y actuar solo sobre la causa confirmada. Conservar el historial de cambios y los registros de correo evita que un problema de HTTPS se convierta en una interrupción mayor.