NET::ERR_CERT_AUTHORITY_INVALID: qué es y cómo solucionarlo

El error NET::ERR_CERT_AUTHORITY_INVALID aparece en Chrome con el aviso "La conexión no es privada" cuando el navegador no confía en quien emitió el certificado SSL del sitio. El certificado puede estar vigente y tener el nombre correcto, pero no lo firmó una autoridad que el navegador reconozca, o falta una parte de la cadena que lo conecta con esa autoridad.

Si el problema es que el certificado venció, el error es ERR_CERT_DATE_INVALID (certificado SSL vencido); si es para otro nombre, es ERR_CERT_COMMON_NAME_INVALID. Para el resto, mirá la conexión no es privada.

Si sos visitante

No pongas contraseñas ni datos de tarjeta mientras veas el aviso.
Revisá la fecha y hora de tu dispositivo. Una fecha muy desfasada puede hacer que el navegador rechace certificados válidos.
Probá desde otra red, por ejemplo con datos móviles. En algunas redes de oficinas, hoteles o wifi públicos, un equipo intermedio reemplaza los certificados y causa justo este error.
Revisá tu antivirus. Algunos antivirus "inspeccionan" las conexiones seguras con su propio certificado; si está mal instalado, todos los sitios muestran este aviso. Si te pasa con muchos sitios a la vez, la causa está en tu compu, no en el sitio.

Si es tu sitio: las causas más comunes

Un certificado autofirmado. Muchos paneles de servidor y VPS nuevos vienen con un certificado de prueba que no firmó ninguna autoridad. Sirve para cifrar, pero ningún navegador lo acepta. Reemplazalo por uno real: con Let's Encrypt es gratis. Mirá la guía de certificado SSL gratis.
Falta el certificado intermedio. Las autoridades firman a través de un certificado intermedio que el servidor tiene que mandar junto al tuyo. Si al instalar el certificado a mano pegaste solo el tuyo, algunos navegadores (sobre todo en celulares) muestran este error y otros no. Instalá el archivo completo, el que suele llamarse fullchain o "cadena completa", o pegá también el bloque del intermedio (CA bundle) en el campo correspondiente del panel.
El certificado lo emitió el hosting para su propio dominio. Si el sitio todavía no tiene su certificado, el servidor puede mostrar uno genérico. Forzá la emisión desde el panel (SSL/TLS Status o AutoSSL en cPanel).
Cloudflare con un certificado de origen expuesto. El Origin Certificate de Cloudflare solo es válido detrás del proxy de Cloudflare. Si apagás la nube naranja de un registro, los visitantes ven ese certificado directo y el navegador no lo reconoce. Volvé a activar el proxy o instalá un certificado público en el servidor.

Cómo confirmarlo

En la pantalla del error, hacé clic en Avanzado y después en el texto del error para ver el certificado. Fijate en el campo Emitido por: si dice el mismo nombre que Emitido para, es autofirmado; si dice algo como Cloudflare Origin, es el caso de Cloudflare. Para ver si falta el intermedio, buscá "SSL checker" y probá tu dominio: te avisa si la cadena está incompleta.

Después de arreglarlo

Probá el sitio en una ventana de incógnito y también desde un celular con datos móviles: si el problema era el intermedio, el celular es donde más se notaba.

Que no te enteres por un cliente

Con un aviso de "conexión no privada", casi todos los visitantes se van. Vigía revisa tu sitio cada pocos minutos desde afuera, te manda un Telegram si deja de responder bien y te avisa antes de que venza el SSL. Gratis para 2 sitios.

Que la próxima vez no te avise un cliente

Vigía revisa tu sitio cada pocos minutos y te manda un Telegram si se cae, y antes de que venzan el SSL y el dominio.

Gratis para 2 sitios, sin tarjeta ni contraseña. ¿Solo querés ver si anda ahora? Chequealo gratis.