Tu sitio abre correctamente con HTTPS, Cloudflare muestra el candado y aparentemente todo funciona bien. Sin embargo, cPanel comienza a enviarte avisos como:
AutoSSL did not renew the certificate.
o:
DNS DCV: No local authority.
Esta situación es bastante común cuando el DNS del dominio está administrado por Cloudflare pero el servidor utiliza cPanel y AutoSSL.
El mensaje puede parecer más grave de lo que realmente es, pero tampoco conviene ignorarlo. Cloudflare y el servidor de hosting manejan certificados diferentes y es importante entender cuál está fallando antes de modificar la configuración.
Cloudflare y cPanel pueden estar usando dos certificados diferentes
Cuando un dominio utiliza el proxy de Cloudflare, una visita normalmente sigue este recorrido:
Visitante → Cloudflare → servidor de hosting
Por eso pueden existir dos conexiones HTTPS independientes.
La primera ocurre entre el navegador del visitante y Cloudflare. Para ella, Cloudflare proporciona normalmente su certificado Universal SSL.
La segunda ocurre entre Cloudflare y el servidor donde está alojado WordPress. Esa conexión también debería estar cifrada.
Cloudflare explica que, precisamente por actuar como intermediario, pueden intervenir dos certificados distintos en una misma solicitud. Cloudflare Developers
Por eso es perfectamente posible que tu página continúe mostrando HTTPS mientras cPanel advierte que AutoSSL no pudo renovar el certificado instalado en el servidor.
¿Qué significa “DNS DCV: No local authority”?
DCV significa Domain Control Validation.
Antes de emitir o renovar un certificado, la autoridad certificadora necesita comprobar que el servidor realmente controla el dominio.
Cuando cPanel muestra:
DNS DCV: No local authority
no significa necesariamente que tu DNS esté roto.
Con frecuencia significa simplemente que cPanel no administra la zona DNS autoritativa del dominio.
Por ejemplo:
- dominio registrado con cualquier registrador;
- nameservers apuntando a Cloudflare;
- DNS administrado desde Cloudflare;
- sitio alojado en un servidor cPanel.
En esa configuración, es normal que cPanel no tenga autoridad sobre el DNS.
Además, cPanel explica que su DNS DCV no puede crear automáticamente los registros necesarios cuando el DNS está alojado en un proveedor externo. cPanel Support
Por eso AutoSSL intenta normalmente utilizar otra vía de validación.
La validación HTTP es la que debemos revisar
AutoSSL también puede comprobar el dominio colocando temporalmente un archivo en una ruta especial del servidor.
Con Let’s Encrypt suele utilizar:
/.well-known/acme-challenge/
La autoridad certificadora intenta acceder posteriormente a ese archivo desde Internet.
Si puede leerlo, demuestra que el servidor controla el dominio y puede emitir el certificado.
cPanel confirma que cuando fallan tanto DNS DCV como HTTP DCV, AutoSSL no puede emitir el certificado. cPanel Support
Aquí es donde Cloudflare puede intervenir.
Error 403 de AutoSSL cuando utilizas Cloudflare
Un mensaje especialmente revelador es:
HTTP DCV error: 403 unauthorized
En este caso, el dominio sí responde, pero algo está bloqueando la petición de validación.
cPanel documenta específicamente este escenario con Cloudflare: determinadas configuraciones de seguridad pueden impedir el acceso a los archivos utilizados para HTTP DCV. cPanel Support
La solución consiste en permitir las solicitudes necesarias hacia:
/.well-known/acme-challenge/
antes de asumir que existe un problema con WordPress o con el certificado.
No recomiendo desactivar permanentemente la seguridad de Cloudflare simplemente para conseguir que AutoSSL funcione.
Error 404 durante la validación
Otro error habitual es:
HTTP DCV error: 404 Not Found
Aquí el servidor respondió, pero AutoSSL no encontró el archivo de validación donde esperaba encontrarlo.
Las causas pueden incluir:
- DNS apuntando a otro servidor;
- registros A incorrectos;
- registros AAAA apuntando a IPv6 que el hosting no tiene configurado;
- redirecciones;
- configuración incorrecta del VirtualHost;
- reglas del servidor;
- proxy de Cloudflare;
- subdominios que apuntan a ubicaciones diferentes.
cPanel advierte específicamente de un caso que suele pasar desapercibido: tener un registro AAAA activo cuando la cuenta cPanel no tiene realmente IPv6 configurado. En ese escenario, la validación puede intentar entrar mediante IPv6 y terminar en el VirtualHost equivocado. cPanel Support
Si no utilizas IPv6 en el hosting, conviene comprobar que no exista un AAAA antiguo o incorrecto en DNS.
El dominio debe apuntar realmente al servidor
AutoSSL necesita poder demostrar que el dominio corresponde al servidor que solicita el certificado.
cPanel indica que un dominio que resuelve hacia una IP diferente de la asignada a la cuenta puede fallar la validación HTTP. cPanel Support
Cuando Cloudflare está activo, una consulta DNS pública normalmente devuelve IPs de Cloudflare en lugar de la IP real del hosting. Eso es normal para un registro con proxy activado.
Por ello hay que diagnosticar el problema completo y no simplemente cambiar registros DNS hasta que desaparezca el aviso.
Si administras varios sitios y prefieres que alguien revise DNS, SSL, Cloudflare y servidor como un conjunto, nuestro servicio de hospedaje web administrado está pensado precisamente para evitar que estos problemas terminen convirtiéndose en una caída del sitio.
¿Debo poner la nube de Cloudflare en gris?
Convertir temporalmente un registro de Proxied a DNS only puede ayudar a diagnosticar o completar determinadas validaciones HTTP.
Pero no debería ser automáticamente la solución permanente.
Al quitar el proxy:
- el tráfico deja de pasar por Cloudflare;
- la IP real del servidor queda expuesta;
- se pierden temporalmente algunas protecciones y funciones del proxy.
cPanel también menciona la posibilidad de desactivar temporalmente Cloudflare como solución cuando sus reglas están bloqueando el desafío HTTP. cPanel Support
Primero conviene identificar por qué está fallando DCV.
¿Puedo utilizar un certificado Cloudflare Origin CA?
Sí, y para sitios que siempre permanecerán detrás del proxy de Cloudflare puede ser una alternativa muy interesante.
Cloudflare permite generar certificados Origin CA específicamente para cifrar la conexión:
Cloudflare → servidor
Después de instalarlo en el servidor, Cloudflare recomienda utilizar:
SSL/TLS → Full (strict). Cloudflare Developers
Estos certificados pueden tener una vigencia mucho mayor que los certificados públicos tradicionales.
Pero existe una diferencia importante.
Un certificado Origin CA está diseñado para que Cloudflare confíe en el servidor. Si posteriormente desactivas el proxy y un visitante intenta conectarse directamente al servidor, su navegador puede no considerar ese certificado como públicamente confiable.
Por eso no conviene instalarlo sin entender cómo está configurado el dominio.
Full (strict) es preferible a Flexible
Si utilizas Cloudflare, evita solucionar problemas SSL cambiando apresuradamente el modo a Flexible.
Con Flexible, la conexión entre el visitante y Cloudflare puede estar cifrada, pero Cloudflare puede comunicarse con el servidor mediante HTTP.
Para mantener cifrado de extremo a extremo, Cloudflare recomienda Full (strict) cuando el servidor dispone de un certificado válido. Cloudflare Developers
Una configuración habitual y sólida sería:
Visitante —HTTPS→ Cloudflare —HTTPS→ servidor
en lugar de:
Visitante —HTTPS→ Cloudflare —HTTP→ servidor
Qué revisar paso a paso
Antes de modificar certificados, revisa el mensaje completo de AutoSSL. La parte importante no suele ser solamente No local authority, sino lo que aparece después en HTTP DCV.
Después comprueba:
1. Registros A
Verifica que el origen configurado corresponda al servidor correcto.
2. Registros AAAA
Si existe IPv6, confirma que realmente esté configurado en el hosting. Si no lo utilizas, un registro AAAA incorrecto puede provocar fallos de validación. cPanel Support
3. Ruta /.well-known/
Comprueba que Cloudflare, WordPress o reglas del servidor no estén bloqueando las solicitudes de validación.
4. Firewall y WAF
Una respuesta 403 suele apuntar a un bloqueo, no a un problema de emisión del certificado.
5. Certificado instalado en el origen
Comprueba su fecha de vencimiento y los dominios que cubre.
6. Modo SSL/TLS de Cloudflare
Con un certificado válido en origen, utiliza preferentemente Full (strict). Cloudflare Developers
7. Subdominios
No revises únicamente dominio.com y www. Un solo hostname incluido en el certificado puede impedir una renovación completa.
De hecho, cPanel explica que AutoSSL puede retrasar una renovación cuando uno de los dominios actualmente protegidos falla DCV, para evitar sustituir inmediatamente el certificado por otro con menor cobertura. cPanel Support
No elimines AutoSSL solo porque utilizas Cloudflare
Este es probablemente el error conceptual más frecuente.
Tener SSL de Cloudflare no significa automáticamente que el servidor ya no necesite certificado.
Cloudflare protege la conexión con el visitante, mientras que el certificado del servidor protege la conexión entre Cloudflare y el origen cuando utilizas Full o Full (strict).
Antes de desactivar AutoSSL debes saber qué certificado utilizarás en el servidor.
Si administras WordPress, correo, DNS y Cloudflare por separado y estos avisos empiezan a consumir demasiado tiempo, puede ser más eficiente centralizar la parte técnica. En Plataforma Web ofrecemos hospedaje web administrado y también podemos revisar la configuración completa desde nuestra página de servicios web.
Preguntas frecuentes
¿“DNS DCV: No local authority” significa que Cloudflare está mal configurado?
No necesariamente. Si Cloudflare administra los nameservers del dominio, cPanel puede simplemente no tener autoridad sobre esa zona DNS. Lo importante es revisar también el resultado de HTTP DCV.
¿Mi página puede seguir funcionando aunque AutoSSL falle?
Sí. Si el tráfico pasa por Cloudflare, el navegador puede estar viendo el certificado de Cloudflare mientras el certificado del servidor se acerca a su vencimiento. Aun así, debes corregirlo si utilizas Full (strict).
¿Debo apagar Cloudflare para renovar AutoSSL?
No como primera medida. Puede utilizarse temporalmente durante el diagnóstico en determinados casos, pero primero conviene determinar si el problema es DNS, IPv6, WAF, una redirección o la ruta de validación.
¿Cloudflare Origin CA reemplaza AutoSSL?
Puede reemplazar el certificado público del origen en determinadas arquitecturas donde el tráfico siempre pasa por Cloudflare. No es equivalente a un certificado público pensado para conexiones directas desde navegadores.
Deja SSL, DNS y Cloudflare trabajando juntos
AutoSSL y Cloudflare no son tecnologías incompatibles. Los problemas aparecen normalmente porque cada una controla una parte diferente de la conexión.
La clave está en determinar qué validación está fallando antes de tocar DNS, desactivar Cloudflare o eliminar certificados.
Una configuración bien hecha permite mantener Cloudflare activo, utilizar Full (strict) y conservar cifrada también la conexión hasta el servidor.
Si prefieres delegar esta parte, en Plataforma Web podemos encargarnos del hospedaje y soporte técnico de tu sitio, incluyendo revisión de SSL, DNS, WordPress y configuración de Cloudflare.
