Un certificat caducat i una cadena incompleta poden semblar el mateix error al navegador, però es reparen de manera diferent. Identifica primer quin endpoint TLS rep el visitant —CDN, balancejador o origen— i revisa la cadena que presenta abans de tocar URLs o redirects de WordPress.
Identifica l’endpoint del certificat
Resol el hostname i inspecciona emissor, SAN, caducitat i cadena completa a l’endpoint públic. No assumeixis que el certificat de l’origen és el que veu el navegador.
Distingeix caducitat de cadena incompleta
Un leaf caducat necessita renovació; un intermediate absent necessita bundle/ordre correcte. Reemetre no arregla un servidor que serveix el fitxer de cadena equivocat.
Revisa per separat CDN i origen
Amb reverse proxy, TLS de l’edge i TLS de l’origen són dos contractes. Confirma el mode triat i si el certificat d’origen és vàlid per a ell.
Renova sense canviar URLs de l’aplicació
Renovar el certificat normalment no exigeix canviar home/site URL de WordPress. Barrejar totes dues coses és una via freqüent a bucles.
Audita redirects quan TLS funcioni
Quan HTTPS ja acabi bé, deixa HTTP→HTTPS en una capa autoritativa. Proxy, servidor i WordPress apilats poden fer loop.
Verifica la ruta completa
Prova apex/www, pàgines, admin i API. Confirma que cap hostname serveix un certificat antic i monitoritza la propera caducitat.
Abans de canviar DNS durant un incident de certificat, usa la checklist de migració DNS; si HTTPS arriba a un upstream trencat, segueix amb el diagnòstic 502.