Solución de problemas de dominio y certificado TLS/SSL en Azure App Service

Al configurar un dominio o un certificado TLS/SSL para las aplicaciones web en Azure App Service, es posible que se produzcan los siguientes problemas comunes. Este artículo explora las posibles causas y soluciones de estos problemas.

Además de la información de este artículo, puede obtener más ayuda poniéndose en contacto con los expertos de Azure en los foros de Preguntas y respuestas de Microsoft y Stack Overflow. Como alternativa, puede presentar un incidente de soporte técnico de Azure en el sitio de soporte técnico de Azure. Seleccione Obtener soporte técnico.

Nota

Se recomienda usar el módulo Azure Az de PowerShell para interactuar con Azure. Para comenzar, consulte Instalación de Azure PowerShell. Para más información sobre cómo migrar al módulo Az de PowerShell, consulte Migración de Azure PowerShell de AzureRM a Az.

Problemas con el certificado

No puede agregar un enlace de certificado TLS/SSL a una aplicación

Síntoma

Cuando agrega un enlace TLS, recibe el mensaje de error siguiente:

"Error al agregar enlace SSL. No se puede configurar el certificado para la IP virtual existente porque otra IP virtual ya usa ese certificado".

Causa

Es posible que este problema se produzca si tiene varios enlaces TLS/SSL basados en IP para la misma dirección IP en varias aplicaciones. Por ejemplo, la aplicación A tiene un enlace TLS/SSL basado en IP con un certificado antiguo. La aplicación B tiene un enlace TLS/SSL basado en IP con un certificado nuevo para la misma dirección IP. Al actualizar el enlace TLS de la aplicación con el nuevo certificado, se produce un error en la actualización porque se usa la misma dirección IP para otra aplicación y recibe el mensaje de error.

Solución

Para resolver este problema, intente uno de los métodos siguientes:

• Elimine el enlace TLS/SSL basado en IP de la aplicación que usa el certificado antiguo.
• Cree un nuevo enlace TLS/SSL basado en IP que use el nuevo certificado.

No se puede eliminar un certificado

Síntoma

Al intentar eliminar un certificado, recibirá el mensaje de error siguiente:

"No se puede eliminar el certificado porque se está utilizando actualmente en un enlace TLS/SSL. Es necesario quitar el enlace TLS para eliminar el certificado".

Causa

Es posible que este problema se produzca si otra aplicación usa el certificado.

Solución

1. Quite el enlace TLS para el certificado de las aplicaciones.
2. Intente eliminar el certificado.
3. Si todavía no puede eliminarlo, borre la caché del explorador de Internet y vuelva a abrir Azure Portal en una nueva ventana del explorador. A continuación, intente eliminar el certificado.

No se puede adquirir un certificado de App Service

Síntoma

En Azure Portal no puede comprar un certificado de Azure App Service.

Causa y solución

Este problema se puede producir por alguno de los siguientes motivos:

• El plan App Service es un plan de tarifa Gratis o Compartido, que no admite TLS.

  Solución: actualice el plan de App Service a Estándar.

• La suscripción no tiene una tarjeta de crédito válida.

  Solución: agregue una tarjeta de crédito válida a la suscripción.

• La oferta de suscripción no admite la compra de un certificado de App Service. Ejemplo: Microsoft Student.

  Solución: actualice su suscripción.

• La suscripción alcanzó el límite de compra permitido.

  Solución: Los certificados de App Service tienen un límite de 10 compras de certificados para los tipos de suscripción de pago por uso y Contrato Enterprise. Para otros tipos de suscripción, el límite es 3. Para aumentar el límite, póngase en contacto con el soporte técnico de Azure.

• El certificado de App Service se ha marcado como fraude. Recibió el siguiente mensaje de error: "Su certificado se ha marcado por posible fraude. La solicitud está actualmente bajo revisión. Si el certificado no es utilizable en 24 horas, póngase en contacto con el soporte técnico de Azure".

  Solución: si el certificado se ha marcado como fraude y no se resuelve en 24 horas, siga estos pasos:

  1. Inicie sesión en Azure Portal.

  2. Vaya a Certificados de App Service y seleccione el certificado.

  3. Seleccione Configuración del certificado>Paso 2: Comprobar>Comprobación del dominio. Este paso envía un aviso por correo electrónico al proveedor de certificados de Azure para que resuelva el problema.

Se renovó un certificado de App Service, pero la aplicación muestra el certificado antiguo

Síntoma

Se renovó el certificado de App Service, pero la aplicación que usa el certificado de App Service sigue usando el certificado antiguo. También es posible que reciba una advertencia de que se requiere el protocolo HTTPS.

Causa 1: Faltan permisos de directiva de acceso en el almacén de claves

Al almacén de claves que se usa para almacenar el certificado de App Service le faltan permisos de directiva de acceso en el almacén de claves para Microsoft.Azure.Websites y Microsoft.Azure.CertificateRegistration. Las entidades de servicio y los permisos necesarios para el acceso al almacén de claves son:

Principal de servicio	Permisos de secretos	Permisos de certificado
Servicio de aplicaciones de Microsoft Azure	Obtener	Obtener
Microsoft.Azure.CertificateRegistration	Get,List,Set,Delete	Obtener, Lista

Solución 1: Modificación de las directivas de acceso para el almacén de claves

Para modificar las directivas de acceso para el almacén de claves, siga estos pasos:

1. Inicie sesión en Azure Portal. Seleccione el almacén de claves usado por el certificado de App Service. Vaya a Políticas de acceso.
2. Si no ve las dos entidades de servicio en la lista, debe agregarlas. Si están disponibles, compruebe que los permisos incluyen los permisos de secreto y certificado recomendados.
3. Agregue una entidad de servicio seleccionando Crear. A continuación, seleccione los permisos necesarios para los permisos secretos y de certificado.
4. Para la entidad de servicio, escriba los valores que obtuvo anteriormente en el cuadro de búsqueda. A continuación, seleccione la entidad de servicio.

Causa 2: El servicio de aplicaciones no se ha sincronizado con el nuevo certificado

App Service sincroniza automáticamente el certificado en un plazo de 48 horas. Cuando se alterna o actualiza un certificado, la aplicación sigue recuperando, en ocasiones, el certificado antiguo y no el recién actualizado. Esto sucede porque el trabajo que sincroniza el recurso de certificado no se ha ejecutado. Para resolver este problema, sincronice el certificado manualmente. La sincronización actualiza manualmente los enlaces de nombre de host para el certificado en App Service sin causar ningún tiempo de inactividad en las aplicaciones.

Solución 2: Forzar una sincronización para el certificado

Para forzar una sincronización para el certificado, siga estos pasos:

1. Inicie sesión en Azure Portal. Seleccione Certificados de App Service y luego el certificado.
2. Seleccione Regenerar claves y sincronizar y luego seleccioneSincronizar. La sincronización tarda algo de tiempo en finalizar.
3. Cuando finaliza la sincronización, aparece la siguiente notificación: "Se actualizaron correctamente todos los recursos con el certificado más reciente".

App Service muestra el certificado incorrecto

Síntoma

Al examinar App Service, presenta el certificado incorrecto.

Causa

Este problema puede manifestarse cuando los enlaces IP SSL y SNI de indicación de nombre de servidor (SNI) están configurados para App Service. Cuando los clientes que no son SNI llegan al punto de conexión IP SSL, el certificado IP SSL se almacena en caché. Incluso si los clientes habilitados para SNI acceden al sitio, se les presenta el certificado IP SSL, lo que hace que se presente un certificado no válido.

Solución

Asegúrese de no utilizar enlaces SNI junto con enlaces SSL de IP y navegue siempre al sitio web a través de la URL de dominio personalizada si tiene clientes que no son SNI. Si necesita usar enlaces SNI, asegúrese de que el certificado enlazado al enlace SSL IP se emita para proteger todas las direcciones URL configuradas para el sitio (incluidos los enlaces SNI). Configure el mismo certificado con todos los demás enlaces. Este comportamiento es así por diseño.

Problemas de dominio personalizado

Un dominio personalizado devuelve un error 404

Síntoma

Al navegar por el sitio con el nombre de dominio personalizado, recibirá el mensaje de error "Error 404 - Aplicación web no encontrada".

Causa y solución

Causa 1

A su dominio personalizado configurado le falta un CNAME record o un A recordarchivo .

Solución para la causa 1

• Si agregó un A record, asegúrese de que también se agregue a TXT record . Para obtener más información, vea Creación de registros DNS.
• Si no tienes que usar el dominio raíz para tu app, te recomendamos que uses un CNAME recordA recordarchivo .
• No uses a CNAME record y an A record para el mismo dominio. Este problema puede causar conflictos e impedir la resolución del dominio.

Causa 2

El explorador de Internet podría seguir almacenando en caché la dirección IP antigua del dominio.

Solución para la causa 2

Desactive el explorador. Para dispositivos Windows, puede ejecutar el comando ipconfig /flushdns. Para comprobar que el dominio apunta a la dirección IP de la aplicación, use WhatsmyDNS.net.

No se puede agregar un subdominio

Síntoma

No se puede agregar un nuevo nombre de host a una aplicación para asignar un subdominio.

Solución

• Compruebe con el administrador de la suscripción que tiene permisos para agregar un nombre de host a la aplicación.
• Si necesita más subdominios, le recomendamos que cambie el hospedaje del dominio a Azure DNS. Mediante el uso de Azure DNS, puede agregar 500 nombres de host a la aplicación. Para más información, consulte el artículo sobre agregar un subdominio.

El DNS no se puede resolver

Síntoma

Recibió el siguiente mensaje de error: "No se pudo localizar el registro DNS".

Causa

Este problema se produce por uno de los motivos siguientes:

• El período de vida (TTL) no ha expirado. Para determinar el valor TTL, comprueba la configuración de DNS de tu dominio y espera a que caduque el periodo.
• La configuración de DNS es incorrecta.

Solución

• Espere 48 horas para que este problema se resuelva por sí solo.
• Si puede cambiar la configuración de TTL en la configuración de DNS, cambie el valor a 5 minutos, lo que podría resolver el problema.
• Para comprobar que el dominio apunta a la dirección IP de la aplicación, use WhatsmyDNS.net. Si el dominio no apunta a la dirección IP, configúrelo A record en la dirección IP correcta de la aplicación.

Es necesario restaurar un dominio eliminado

Síntoma

El dominio ya no está visible en Azure Portal.

Causa

Es posible que el propietario de la suscripción haya eliminado accidentalmente el dominio.

Solución

Si el dominio se ha eliminado hace menos de siete días, todavía no se ha iniciado el proceso de eliminación del dominio. En este caso, puede volver a comprar el mismo dominio en Azure Portal bajo la misma suscripción. (Asegúrese de escribir el nombre de dominio exacto en el cuadro de búsqueda). No se le volverá a cobrar por este dominio. Si el dominio se eliminó hace más de siete días, póngase en contacto con el soporte técnico de Azure para que le ayuden a restaurar el dominio.

Problemas de dominio

Adquirió un certificado TLS/SSL para un dominio incorrecto

Síntoma

Adquirió un certificado de App Service para un dominio incorrecto No se puede actualizar el certificado para usar el dominio correcto.

Solución

Elimine ese certificado y, después, compre un certificado nuevo.

Si el certificado actual que usa el dominio incorrecto está en el estado "Emitido", también se le facturará por ese certificado. Los certificados de App Service no son reembolsables, pero puede ponerse en contacto con el soporte técnico de Azure para obtener otras opciones posibles.

La verificación de dominio no funciona

Síntoma

Es necesario comprobar el dominio para poder usar el certificado de App Service. Cuando selecciona Comprobar, se produce un error en el proceso.

Solución

Verifica manualmente tu dominio añadiendo un TXT record:

1. Vaya hasta el proveedor de DNS que aloja su nombre de dominio.

2. Agregue un TXT record para el dominio que use el valor del token de dominio de Azure Portal.

3. Espere unos minutos a que tenga lugar la propagación de DNS y seleccione el botón Actualizar para desencadenar la comprobación.

Como alternativa, puede usar el método de página web HTML para comprobar manualmente el dominio. Este método permite a la autoridad de certificación (CA) confirmar la propiedad del dominio para el que se emite el certificado.

1. Cree un archivo HTML llamado {domain verification token}.html. El contenido del archivo debe ser el valor del token de comprobación de dominio.

2. Cargue este archivo en la raíz del servidor web que hospeda el dominio.

3. Seleccione Actualizar para comprobar el estado del certificado. La comprobación podría tardar unos minutos en finalizar.

Por ejemplo, si va a comprar un certificado estándar para azure.com con el token 1234abcdde verificación de dominio , una solicitud web realizada a https://azure.com/1234abcd.html debe devolver 1234abcd.

Importante

La compra de un certificado solo tiene 15 días para completar la operación de verificación del dominio. Después de 15 días, la CA deniega el certificado y no se le cobrará por el certificado. En esta situación, elimine el certificado y vuelva a intentarlo.

No se puede adquirir un dominio

Síntoma

No se puede comprar un dominio de App Service en Azure Portal.

Causa y solución

Este problema se produce por uno de los motivos siguientes:

• No hay ninguna tarjeta de crédito en la suscripción de Azure, o bien la tarjeta de crédito no es válida.

  Solución: agregue una tarjeta de crédito válida a la suscripción.

• El tipo de suscripción de Azure no admite la adquisición de un dominio de App Service.

  Solución: Actualice la suscripción de Azure a otro tipo de suscripción, como una suscripción de pago por uso.

• En función del tipo de suscripción, es posible que deba tener un historial de pagos suficiente para poder comprar un dominio de App Service.

  Solución: Compre con una suscripción diferente que tenga un historial de pagos o espere hasta que tenga un historial de pagos con su suscripción actual.

• No es el propietario de la suscripción, por lo que no tiene permiso para comprar un dominio.

  Solución: asigne el rol Propietario a la cuenta. O bien, póngase en contacto con el administrador de la suscripción a fin de obtener permiso para comprar un dominio.

No se puede agregar un nombre de host a una aplicación

Síntoma

Cuando agrega un nombre de host, el proceso no puede validar y comprobar el dominio.

Causa

Este problema se produce por uno de los motivos siguientes:

• No tiene permiso para agregar un nombre de host.

  Solución: pida al administrador de la suscripción que le dé permiso para agregar un nombre de host.

• No se ha podido verificar la propiedad de tu dominio.

  Solución: Verifique que su CNAME record or A record esté configurado correctamente. Para asignar un dominio personalizado a una aplicación, cree un CNAME record archivo A record. Si desea utilizar un dominio raíz, debe utilizar un A record y un TXT record:

  Tipo de registro	Anfitrión	Apunta a
  A	@	Dirección IP de la aplicación
  TXT	@	<app-name>.azurewebsites.net
  CNAME	www	<app-name>.azurewebsites.net

Preguntas más frecuentes

¿Tengo que configurar mi dominio personalizado para mi sitio web cuando lo compro?

Al comprar un dominio desde Azure Portal, se configura automáticamente la aplicación de App Service para usar ese dominio personalizado. No tienes que dar más pasos. Para más información, vea Azure App Service Self Help: Add a Custom Domain Name (Autoayuda de Azure App Service: agregar un nombre de dominio personalizado) en Channel9.

¿Puedo usar un dominio comprado en Azure Portal para que apunte en su lugar a una máquina virtual de Azure?

Sí, puede apuntar el dominio a una máquina virtual. Para más información, consulte Usar Azure DNS para proporcionar la configuración de un dominio personalizado para un servicio de Azure.

¿Mi dominio está hospedado por GoDaddy o Azure DNS?

Los dominios de App Service usan GoDaddy para el registro de dominio y Azure DNS para hospedar los dominios.

Habilité la renovación automática, pero aún así recibí un aviso de renovación para mi dominio por correo electrónico. ¿Cuál debo hacer?

Si has activado la renovación automática, no es necesario que realices ninguna acción. El correo electrónico solo le informa que el dominio está a punto de caducar y que debe renovarlo manualmente si la renovación automática no está habilitada.

¿Me cobrarán por el hospedaje de mi dominio en Azure DNS?

El costo inicial de la compra del dominio se aplica solo al registro del dominio. Junto con el costo de registro, Azure DNS incurre en cargos, en función del uso. Para más información, vea Precios de Azure DNS.

Anteriormente compré mi dominio en Azure Portal y quiero pasar del alojamiento de GoDaddy al alojamiento de DNS de Azure. ¿Cómo puedo hacerlo?

No es obligatorio migrar al hospedaje de Azure DNS. Si quiere hacerlo, en la experiencia de administración de dominios de Azure Portal se proporciona información sobre los pasos necesarios para ello. Si ha comprado el dominio mediante App Service, la migración del hospedaje de GoDaddy a Azure DNS es un procedimiento relativamente sencillo.

Me gustaría comprar mi dominio en App Service, pero ¿puedo alojar mi dominio en GoDaddy en lugar de Azure DNS?

A partir del 24 de julio de 2017, Azure hospeda en Azure DNS los dominios de App Service comprados desde Azure Portal. Si prefiere utilizar un proveedor de alojamiento diferente, debe ir a su sitio web para obtener una solución de alojamiento de dominio.

¿Tengo que pagar para proteger la privacidad de mi dominio?

Al comprar un dominio mediante Azure Portal, puede elegir agregar privacidad sin costo adicional. Esta ventaja se incluye al comprar el dominio a través de Azure App Service.

Si decido que ya no quiero mi dominio, ¿me pueden devolver el dinero?

Cuando compras un dominio, no se te cobra durante cinco días (con una excepción). Durante este tiempo, puede decidir si quiere conservar el dominio. Si decide no conservar el dominio durante ese plazo, no se le cobrará. Los dominios que terminan con .uk son la excepción. Si compras un .uk dominio, se te cobrará inmediatamente y no podrás obtener un reembolso.

¿Puedo usar el dominio en otra aplicación de Azure App Service de mi suscripción?

Sí. Cuando acceda a las páginas de Dominios personalizados y Certificados en Azure Portal, verá los dominios que ha comprado. Puede configurar la aplicación para usar cualquiera de esos dominios.

¿Puedo transferir un dominio de una suscripción a otra?

Sí, puede mover un dominio a otra suscripción o grupo de recursos mediante el cmdlet de Move-AzResource PowerShell.

¿Cómo puedo administrar mi dominio personalizado si actualmente no tengo una aplicación de Azure App Service?

Puede administrar el dominio incluso si no tiene una aplicación web de App Service. Puede usar el dominio para servicios de Azure, como Azure Virtual Machines, Azure Storage, etc. Si planea usar el dominio para las aplicaciones web del Servicio de aplicaciones, debe incluir una aplicación web que no esté en un nivel gratuito del Servicio de aplicaciones para que pueda enlazar el dominio a la aplicación web.

¿Puedo mover una aplicación web con un dominio personalizado a otra suscripción o de App Service Environment v1 a V2?

Sí, puede mover la aplicación web entre suscripciones. Siga las instrucciones que se indican en Traslado de recursos de Azure. Se aplican algunas limitaciones al mover una aplicación web. Para más información, consulte Limitaciones por mover recursos de App Service.

Después de mover una aplicación web, los enlaces de nombre de host de los dominios dentro de la configuración de dominios personalizados deben permanecer iguales. No se necesita ningún paso adicional para configurar los enlaces de nombre de host.

¿Qué formatos de archivo se devuelven al descargar mi certificado de App Service desde su almacén de claves?

Al seleccionar Descargar como certificado para el certificado de App Service en su almacén de claves/secretos, el formato de archivo de certificado es .pfx. No se aplica ninguna contraseña al archivo.

¿Qué formato de archivo puedo usar para cargar un certificado en App Service?

El formato del archivo de certificado debe ser un archivo .pfx con una contraseña aplicada al archivo. El certificado también debe cumplir con los requisitos del certificado.

Si obtuvo su certificado de una CA de terceros y el formato de archivo es un formato .pem/.key, puede usar una herramienta como OpenSSL para convertir los archivos a un formato de archivo .pfx. La clave privada debe incluirse durante la conversión porque el formato de archivo .pfx lo requiere.

Además, si su CA le proporciona varios certificados en la cadena de certificados, debe combinar los certificados siguiendo el mismo orden. Para obtener más información, consulte Combinar certificados intermedios.

¿Cómo se genera una solicitud de firma de certificado para un certificado de App Service?

En el caso de un certificado de App Service, se compra a través de Azure Portal o mediante un comando de Powershell/CLI. No es necesaria una solicitud de firma de certificado. Sin embargo, Azure Key Vault admite el almacenamiento de certificados digitales emitidos por cualquier entidad de certificación. Admite la creación de una solicitud de firma de certificado con un par de claves privadas/públicas. La solicitud de firma de certificado puede estar firmada por cualquier entidad de certificación (una entidad de certificación empresarial interna o una entidad de certificación pública externa). Para obtener más información, consulte Creación de una solicitud de firma de certificado.