HTTPS aparece al principio de muchas direcciones web, aunque normalmente solo le prestamos atención cuando algo falla. El navegador muestra un aviso, un formulario deja de cargar o el alojamiento ofrece cobrarte por un certificado y no tienes claro qué estás comprando.
Detrás de esas siglas hay una protección importante, pero también unas cuantas confusiones. Tener HTTPS no convierte una tienda en fiable, instalar un certificado no termina siempre el trabajo y añadir un plugin no arregla cualquier error de conexión.
Entender qué hace cada pieza te ayuda a comprobar tu web y a pedir una corrección concreta cuando hace falta. Sin tener que aprender criptografía entre una reunión y la siguiente.
Qué es HTTPS y para qué sirve
HTTPS es la versión de HTTP que protege mediante cifrado la comunicación entre tu navegador y un sitio web. Sus siglas vienen de Hypertext Transfer Protocol Secure, protocolo seguro de transferencia de hipertexto. La protección la aporta TLS, la tecnología que se utiliza actualmente para establecer esa conexión.
Cuando abres una página, tu navegador pide información a un servidor. Cuando envías un formulario, también le entrega datos. HTTPS protege ese intercambio para dificultar que alguien situado en el camino pueda leerlo o modificarlo sin que se detecte.
Además del cifrado, la conexión utiliza un certificado para comprobar que el servidor está autorizado a responder por el nombre de la web al que intentas acceder. El navegador comprueba su validez y acuerda con el servidor cómo proteger la comunicación. Ese proceso inicial se conoce como negociación o handshake TLS.
Piensa en un formulario de presupuesto. Te interesa que el nombre, el correo y el mensaje lleguen protegidos durante el trayecto. Lo que pase con esos datos después, una vez recibidos, depende de otras medidas. HTTPS no decide quién puede entrar al panel ni cómo se guardan las copias de seguridad.
Diferencias entre HTTP y HTTPS
La diferencia principal es la protección de la conexión. HTTP define cómo se intercambian las peticiones y respuestas; HTTPS añade TLS a esa comunicación. La página puede tener exactamente el mismo diseño y, sin embargo, transmitir la información de una forma distinta.
| Aspecto | HTTP sin TLS | HTTPS |
|---|---|---|
| Datos durante el trayecto | Sin cifrado de transporte | Cifrados mediante TLS |
| Certificado del servidor | No lo utiliza | El navegador comprueba el certificado |
| Protección frente a cambios en tránsito | No la aporta | Incluye mecanismos de integridad |
| Dirección habitual | http:// | https:// |
Esto también importa en una web sin pagos. Hay accesos de administración, formularios y contenido que alguien puede consultar o intentar alterar durante su transmisión. Que la página solo presente tu negocio no hace recomendable servirla por HTTP.
No confundas HTTPS con HTTP/2 o HTTP/3. Estos nombres identifican versiones del protocolo de comunicación; HTTPS indica que se utiliza una conexión protegida. Tampoco conviene prometer que poner la S hará que cualquier web cargue más rápido. El rendimiento depende de más decisiones y necesita su propia revisión.
Qué es un certificado SSL y cuándo es gratuito
El certificado vincula un nombre de dominio con la información que permite autenticar al servidor durante la conexión. Aunque los paneles de alojamiento suelen llamarlo «certificado SSL», en las conexiones actuales hablamos de TLS. El nombre comercial ha sobrevivido a la tecnología antigua. Pasa bastante en informática.
Para una web de empresa habitual puede ser suficiente un certificado de validación de dominio emitido por una autoridad de confianza. Verifica el control del dominio durante la emisión; no certifica que la empresa sea honrada, que el producto sea bueno o que el servicio vaya a responderte el lunes.
Existen certificados gratuitos. Let’s Encrypt es una autoridad gratuita y automatizada, integrada en muchos alojamientos. Antes de contratar un certificado básico, comprueba si tu plan ya incluye uno y quién se ocupa de instalarlo y renovarlo.
Que el certificado no tenga coste de emisión no significa que toda la gestión deba ser gratuita. Un proveedor puede cobrar por configurarlo, resolver incidencias o supervisarlo. Lo razonable es saber qué servicio estás pagando, en lugar de encontrar una partida de «seguridad» que nadie explica.
Los certificados caducan. La renovación automática debe estar configurada y seguir funcionando. No conviene confiar en una duración universal, porque depende de la autoridad y del tipo de certificado, y los plazos están cambiando. Lo útil es conocer su fecha real, el sistema de renovación y quién recibe los avisos.
Cómo activar HTTPS en WordPress
Para activar HTTPS necesitas que el servidor pueda ofrecer una conexión válida antes de pedirle a WordPress que la use. Cambiar dos direcciones en el panel no instala un certificado. Si se hace en el orden contrario, puedes perder el acceso a la administración hasta corregir la configuración.
Antes de empezar, prepara una copia de seguridad de archivos y base de datos, comprueba cómo restaurarla y conserva acceso al alojamiento. Si la instalación tiene varias webs, un proxy o una configuración que no conoces, pide que revisen ese caso antes de aplicar una receta genérica.
Instala el certificado y comprueba el dominio
Busca en el alojamiento la gestión de certificados o solicita su activación al soporte. El certificado debe cubrir los nombres que vayas a utilizar, incluido www si corresponde. También debe poder renovarse con el sistema elegido por el proveedor.
Si la validación falla, puede ser necesario revisar dónde apunta el dominio o cómo se demuestra su control. En nuestra guía sobre qué es un servidor DNS situamos esa parte. No cambies registros al azar para intentar que el certificado aparezca.
Abre directamente la versión https:// y comprueba que el navegador la acepta sin una advertencia de certificado. Si muestra un error, resuélvelo antes de continuar. Esperar un rato o saltarse el aviso no confirma que esté bien instalado.
Si utilizas Cloudflare, revisa también el tramo entre Cloudflare y el alojamiento. Hay dos conexiones y ambas deben quedar protegidas. El modo Completo (Estricto) valida además el certificado del origen; requiere que ese servidor esté preparado. Los ajustes concretos los desarrollamos en configurar Cloudflare en WordPress.
Revisa las direcciones de WordPress
En una instalación habitual, entra en Ajustes → Generales y revisa Dirección de WordPress y Dirección del sitio. Si siguen usando HTTP, actualiza el protocolo a HTTPS conservando el dominio y las rutas que correspondan a tu instalación.
Ambas direcciones suelen coincidir, pero no siempre. Si WordPress está instalado en una subcarpeta, no borres esa parte porque el ejemplo de un tutorial tenga otra forma. La documentación de ajustes generales de WordPress explica qué representa cada campo.
Si aparecen bloqueados, pueden estar definidos en la configuración. En ese caso la corrección se hace donde estén establecidos, con ayuda de quien gestione la web. Aprovechar este cambio para añadir www, cambiar de dominio y reorganizar carpetas a la vez solo complica saber qué ha fallado.
Corrige las referencias antiguas a HTTP
Revisa las imágenes, los estilos, los scripts y las direcciones guardadas en el contenido. Actualiza las referencias propias que todavía usen HTTP y comprueba que los recursos externos tienen una versión HTTPS disponible.
Aquí solemos encontrar una parte del problema que queda escondida. El certificado ya funciona, pero una imagen del constructor o una integración conserva una dirección antigua. Localizar esa referencia resulta más útil que ir añadiendo plugins hasta que deje de verse el síntoma.
Si necesitas reemplazar muchas direcciones en la base de datos, utiliza una herramienta adecuada para WordPress que respete los datos serializados, con copia previa y prueba del alcance. Una sustitución indiscriminada de todas las cadenas http:// puede afectar a valores que no querías cambiar.
Redirige la versión HTTP a la página equivalente
Configura una redirección permanente, habitualmente 301, hacia la versión HTTPS elegida. Una visita a http://ejemplo.com/contacto/ debería terminar en https://ejemplo.com/contacto/, conservando la página de destino y los parámetros que correspondan.
La redirección puede gestionarse en el alojamiento, el servidor o la capa que use tu web. Debe estar claro qué sistema la controla. No hace falta que WordPress, un plugin y Cloudflare compitan por mandar al visitante al mismo sitio. A veces se ponen de acuerdo; otras te regalan un bucle.
Por qué aparece un aviso de conexión no segura
Hay avisos distintos y no se corrigen todos de la misma manera. Antes de tocar ajustes, anota el mensaje exacto, la dirección que estás abriendo y si ocurre en toda la web o en una página concreta. Esa información ahorra bastantes cambios innecesarios.
La dirección sigue usando HTTP
Puede que el certificado exista, pero estés entrando por una URL antigua que no redirige. Comprueba el protocolo de la dirección final y cómo llegaste hasta ella. El problema puede estar en un enlace, una configuración o la redirección, sin que sea necesario emitir otro certificado.
Tampoco uses la ausencia del candado como diagnóstico universal. Chrome cambió su indicador principal por uno de controles del sitio, precisamente para evitar confundir una conexión cifrada con una página fiable. Puedes consultar la explicación en el anuncio de Chromium.
El navegador rechaza el certificado
Una advertencia de conexión no privada puede estar relacionada con un certificado caducado, un nombre que no coincide, una cadena de confianza incompleta u otra configuración del servidor. Si solo ocurre en un dispositivo, también conviene revisar su fecha y hora.
En cambios de alojamiento solemos empezar por comprobar qué certificado está respondiendo y para qué nombres sirve. Tener uno instalado en algún punto del sistema no demuestra que sea el que está recibiendo el visitante. Pide que revisen el error concreto; no conviertas «continuar de todos modos» en la instrucción para tus clientes.
La página carga, pero faltan recursos o entra en un bucle
Si el documento usa HTTPS y solicita recursos mediante HTTP, hay contenido mixto. Los navegadores pueden actualizar algunas peticiones a HTTPS y bloquear otras. El resultado puede ser una imagen que falta o una función que deja de responder, no necesariamente el mismo aviso en todos los navegadores.
La consola de las herramientas de desarrollo permite localizar esas peticiones. MDN explica cómo se trata el contenido mixto. La corrección consiste en servir los recursos de forma segura y arreglar sus referencias; no en rebajar la protección del navegador.
Si aparece un error de demasiadas redirecciones, revisa las reglas y cómo el alojamiento, WordPress y cualquier proxy interpretan la conexión. Con Cloudflare, una configuración incoherente entre sus modos y el origen puede provocar ese comportamiento. Cambiar ajustes al azar mientras se acumulan reglas suele alargar la incidencia.
Cómo pasar de HTTP a HTTPS cuidando el SEO
El cambio conserva el contenido, pero modifica sus URLs. Conviene tratarlo como una migración pequeña, con sus comprobaciones, en lugar de limitarse a añadir una S. Google incluye el paso de HTTP a HTTPS en su documentación sobre traslados de sitios.
Además de las redirecciones a cada página equivalente, revisa las referencias que indican qué versión debe utilizarse.
- Enlaces internos hacia las URLs HTTPS.
- Etiquetas canonical con la versión correcta.
- Sitemap con las direcciones actualizadas.
- Ausencia de bloqueos de rastreo o indexación introducidos durante el cambio.
En Search Console, una propiedad de dominio ya engloba HTTP y HTTPS. Si trabajas con una propiedad de prefijo de URL, comprueba que tienes acceso a la versión HTTPS para seguir sus datos. No necesitas la herramienta Cambio de dirección para pasar únicamente de HTTP a HTTPS.
Después observa indexación y tráfico mientras Google procesa las URLs. No se puede prometer que no haya fluctuaciones, ni que activar HTTPS por sí solo vaya a mejorar posiciones. Es una configuración necesaria para cuidar la conexión, no un atajo para superar a otra web.
Cómo comprobar que HTTPS funciona en toda la web
La comprobación no termina cuando abre la portada. Recorre las páginas y funciones que usa una persona para llegar hasta tu negocio, incluidos los accesos que tú utilizas para administrarlo.
- Abre la web por HTTP y comprueba el destino HTTPS.
- Repite con una página interior y las variantes del dominio utilizadas.
- Comprueba imágenes, estilos y funciones interactivas.
- Prueba el acceso y el envío de formularios.
- Si hay tienda, revisa también el recorrido de compra y sus integraciones.
Haz esa revisión después de corregir y limpiar las cachés que correspondan, para comprobar la versión actual. Guarda qué sistema controla el certificado, las redirecciones y la renovación. Si intervienen varias capas, dejarlo por escrito ayuda a que la siguiente incidencia no empiece de cero.
Nos encontramos a menudo con la renovación marcada como automática y nadie que sepa quién recibe los avisos. Antes de darla por resuelta, dejamos identificado el responsable y cómo detectar un fallo. «Automático» describe cómo se ejecuta una tarea; no hace que deje de necesitar supervisión.
Dudas frecuentes sobre HTTPS
¿Qué diferencia hay entre HTTPS y www?
HTTPS indica el protocolo y la protección de la conexión. www forma parte del nombre utilizado para acceder al sitio. Puedes tener una web con HTTPS y sin www, o con ambos. Lo importante es que el certificado cubra los nombres necesarios y las variantes conduzcan a la dirección elegida.
¿Qué puerto utiliza HTTPS?
El puerto predeterminado es el 443; HTTP utiliza habitualmente el 80. Normalmente no tienes que escribirlo al navegar. El alojamiento debe permitir y atender la conexión HTTPS; cambiar una dirección dentro de WordPress no configura por sí solo el servidor.
¿Una web con HTTPS puede ser fraudulenta o estar infectada?
Sí. Una página de phishing puede tener un certificado válido para su propio dominio. HTTPS protege la conexión, pero no sustituye comprobar a quién entregas datos ni mantener la web, los accesos y sus componentes protegidos.
Si tu web sigue mostrando avisos o necesitas cambiarla a HTTPS, empieza por identificar qué falla y quién controla cada parte. En nuestro mantenimiento web revisamos esa configuración y su continuidad, para que la corrección abarque algo más que la primera página que abre el navegador.
Escrito en Nereida Studio, estudio de diseño web y posicionamiento en Valencia. Así trabajamos.
