TLS protege las credenciales SMTP y el mensaje durante el trayecto entre WordPress y el proveedor. Un error de certificado significa que el servidor no pudo verificar la identidad o la cadena de confianza del endpoint. Desactivar la comprobación convierte un fallo visible en una conexión insegura.
Captura el error preciso y corrige su causa.
Registra el fallo del certificado
Ejecuta una conexión controlada y anota hostname SMTP, puerto, modo de cifrado, hora y error redactado. Distingue nombre no coincidente, certificado caducado, emisor desconocido, cadena incompleta y fallo de handshake.
No compartas un transcript SMTP detallado con autenticación. El certificado es público, pero el log puede revelar usuarios, direcciones internas o contenido.
Detén las repeticiones si el proveedor aplica protección de login.
Utiliza el hostname oficial
El certificado se expide para nombres concretos. Conectar a una IP, un hostname antiguo o mail.tudominio.com sin cobertura puede fallar aunque alcance el servidor correcto.
Usa el endpoint exacto del proveedor. Confirma que DNS lo resuelve como se espera y que /etc/hosts no lo desvía.
Confirma también que el cliente envía SNI con ese hostname. En servidores que alojan varios servicios TLS en una misma IP, omitirlo puede presentar el certificado predeterminado de otro dominio aunque DNS y puerto sean correctos.
No desactives la validación del nombre para conservar un alias no oficial.
Haz coincidir puerto y TLS
El 587 suele comenzar en texto y elevarse mediante STARTTLS; el 465 suele esperar TLS desde el inicio. Usar TLS implícito contra STARTTLS, o al contrario, puede parecer un fallo de certificado.
Comprueba cómo etiqueta el plugin “TLS”, “SSL” y “auto”, porque no todos usan los mismos nombres. Sigue la configuración vigente del proveedor.
No envíes credenciales antes del cifrado cuando el servicio exige TLS.
Comprueba la hora del servidor
La validez depende del reloj. Una fecha muy incorrecta puede hacer que un certificado válido parezca futuro o caducado.
Compara la hora del sistema con una fuente fiable y confirma la sincronización. Corrígela mediante el administrador del hosting; cambiar la zona horaria de WordPress afecta contenidos y logs, no TLS.
Repite con una hora nueva después de sincronizar.
Actualiza el almacén de CA
Un bundle de autoridades antiguo o una instalación PHP/OpenSSL obsoleta puede no confiar en una cadena actual. Revisa versiones y el archivo CA usado por el handler web.
Aplica actualizaciones compatibles del sistema y panel mediante el mantenimiento previsto. No descargues bundles aleatorios ni fijes manualmente el certificado leaf, que caducará.
PHP por terminal y PHP-FPM pueden usar configuraciones diferentes; prueba desde el entorno de WordPress.
Inspecciona la cadena presentada
Un administrador puede revisar el endpoint sin credenciales:
openssl s_client -connect smtp.example.net:465
-servername smtp.example.net -showcertsPara un proveedor que documente STARTTLS en 587, añade -starttls smtp. Comprueba resultado de verificación, nombres, emisor y fechas.
Revisa que se entregue la cadena intermedia completa, no solo el certificado final. Un navegador puede descargar intermediarios que faltan y aparentar normalidad, mientras OpenSSL o PHP rechazan la misma cadena incompleta.
Sustituye el ejemplo únicamente por el endpoint oficial.
Busca interceptación o proxies antiguos
Un dispositivo de seguridad, proxy saliente o filtro del hosting puede presentar su propio certificado. Compara emisor y endpoint con la documentación.
Si existe inspección TLS autorizada, el servidor necesita la cadena corporativa gestionada y una decisión de seguridad documentada. No confíes silenciosamente en un certificado desconocido.
Revisa también IPv6 y si distintas IP presentan cadenas inconsistentes.
Demuestra una entrega segura
Tras corregir nombre, modo, hora o confianza, confirma el handshake con verificación activada. Envía después una prueba del plugin y otra del formulario real.
Rastrea aceptación, llegada final y SPF, DKIM y DMARC. Elimina logs temporales.
Solicita ayuda urgente si el certificado pertenece a otro servicio, el trust store está obsoleto o interviene un intermediario. Comparte nombres y errores redactados, nunca credenciales SMTP.