Error 525 SSL en WordPress, solución técnica

El error 525 SSL en WordPress indica, por lo general, que la conexión segura entre el proxy o CDN y el servidor de origen no ha podido completarse. Cuando aparece, el problema no suele estar en el navegador del visitante, sino en el handshake SSL/TLS entre servicios como Cloudflare y el hosting donde está alojada la web.

En términos prácticos: el visitante sí puede conectar con el CDN, pero el CDN no logra establecer una sesión SSL válida con el servidor origen. Por eso conviene revisar certificado, cadena, modo SSL, compatibilidad TLS y posibles bloqueos en el servidor antes de cambiar ajustes de WordPress al azar.

Qué significa el error 525 SSL en WordPress

El código 525 suele asociarse a Cloudflare y significa que ha fallado la negociación SSL con el servidor de origen. No describe un error del certificado que ve el usuario en el navegador, sino un fallo en el tramo interno de la conexión segura entre el proxy y el servidor real.

Esto es importante en WordPress porque muchas incidencias se intentan resolver desde plugins, redirecciones o ajustes de URL del sitio, cuando el origen del problema está en otra capa. Puede haber síntomas colaterales en WordPress, pero el 525 apunta primero a la conexión segura entre CDN y servidor.

Por qué se produce el fallo SSL entre Cloudflare y el servidor de origen

Para acotar el problema conviene separar dos conexiones distintas:

• Visitante hacia el CDN/proxy: es la conexión que ve el usuario al cargar la web.
• CDN/proxy hacia el servidor de origen: es la conexión interna que debe funcionar para que el contenido llegue correctamente.

El error 525 Cloudflare suele producirse en la segunda conexión. Algunas causas habituales son estas:

Certificado del origen inválido, caducado o no coincidente

Puede ocurrir si el certificado SSL del servidor ha caducado, no cubre el hostname solicitado o se ha renovado de forma incompleta. También habrá que comprobar si el certificado visible en Cloudflare está correcto pero el del origen no lo está.

Cadena intermedia incompleta

Un problema de certificado en el servidor origen no siempre afecta al certificado principal. Si faltan certificados intermedios, el navegador puede comportarse de una forma y el proxy de otra, provocando un error de negociación TLS.

Modo SSL inadecuado en el proxy

Conviene revisar si el CDN está en Full o Full strict y si ese modo encaja con el certificado realmente instalado en origen. Un modo mal elegido puede hacer visible un fallo que ya existía o generar una validación que el servidor no cumple.

Incompatibilidad TLS, SNI o bloqueo del origen

También puede haber incompatibilidad TLS, requisitos de SNI mal resueltos en entornos concretos o un firewall/WAF que esté bloqueando conexiones del proxy al puerto HTTPS del origen. Corregir HSTS mal configurado en WordPress y SSL.

Cómo diagnosticar el error 525 paso a paso

1. Confirma si la web usa Cloudflare u otro proxy inverso y si el error aparece solo con el proxy activo.
2. Revisa el certificado instalado en el servidor origen: fecha de caducidad, nombre de dominio cubierto y emisor.
3. Comprueba que la cadena de certificados esté completa y correctamente instalada.
4. Verifica el modo SSL del CDN y si coincide con el nivel de validación que soporta el origen.
5. Comprueba qué versiones TLS acepta el servidor y si hay cambios recientes en hosting, DNS, certificado o CDN.
6. Revisa si el servidor bloquea IPs del proxy, conexiones al puerto 443 o peticiones por SNI/hostname.

Soluciones técnicas según la causa detectada

Si el certificado del origen está caducado o mal emitido

Habrá que renovar o reinstalar el certificado en el servidor de origen, no solo en el CDN. Si el dominio o subdominio no coincide, el certificado debe cubrir exactamente el hostname solicitado.

Si faltan certificados intermedios

La solución pasa por instalar correctamente la cadena completa. Este punto es frecuente tras migraciones, renovaciones manuales o cambios de panel de hosting.

Si el modo SSL del CDN no encaja con el origen

Conviene ajustar el modo SSL a una configuración coherente con el estado real del servidor. Cambiarlo sin revisar el certificado puede ocultar o desplazar el problema, pero no resolverlo de raíz.

Si hay incompatibilidad TLS o bloqueo del servidor

En ese caso habrá que revisar soporte TLS, configuración del servicio web y reglas de seguridad. Si el origen rechaza conexiones del proxy o negocia parámetros obsoletos, el handshake seguirá fallando aunque WordPress esté bien configurado.

Qué revisar en WordPress, hosting y CDN para que no vuelva a ocurrir

En WordPress conviene comprobar redirecciones HTTPS, plugins de caché o seguridad y cualquier ajuste que complique el diagnóstico, pero sin tratarlos como causa principal del 525. La revisión prioritaria sigue estando en el hosting y en el CDN.

• Fechas de renovación y despliegue del certificado en origen.
• Cambios recientes de DNS, proxy, hosting o balanceadores.
• Compatibilidad TLS del servidor y correcta entrega de SNI si aplica.
• Reglas de firewall, WAF o listas de bloqueo que afecten al CDN.
• Consistencia entre el dominio publicado y el certificado realmente servido.

Según la documentación oficial de Cloudflare, el 525 aparece cuando falla el handshake SSL entre Cloudflare y el servidor de origen: developers.cloudflare.com/support/troubleshooting/http-status-codes/cloudflare-5xx-errors/error-525/.

En resumen, el error 525 SSL en WordPress no se corrige tocando WordPress sin más: hay que revisar la conexión segura entre CDN y origen. Los fallos más habituales son cambiar ajustes al azar, activar modos SSL inadecuados o renovar solo el certificado visible sin comprobar el del servidor origen. Si no tienes acceso al servidor, al panel del CDN o a la configuración SSL, conviene que un técnico revise la cadena completa de WordPress, hosting y proxy para localizar la causa real.