Certificado SSL y HTTPS: qué son

Cuando alguien visita tu página, su navegador y tu servidor intercambian información. Con HTTP, esa información viaja sin cifrar y alguien en la misma red podría leerla o alterarla. Con HTTPS, viaja cifrada. Para usar HTTPS, el sitio necesita un certificado, comúnmente llamado SSL, aunque la tecnología actual se llama TLS.

El candado o el icono de conexión segura en la barra del navegador indica que el sitio usa HTTPS.

Puedes revisarlo tú mismo: en la barra del navegador, junto a la dirección, aparece un candado o un ícono de ajustes. Al tocarlo, el navegador te dice si la conexión es segura y quién emitió el certificado.

Los navegadores marcan como no seguro a los sitios sin HTTPS, sobre todo cuando tienen formularios. Para un cliente, ese aviso es motivo suficiente para irse. Además, Google considera HTTPS como parte de la experiencia de la página.

Si tu página recaba datos, como un formulario de contacto o una tienda, HTTPS no es opcional.

Muchos proveedores de hospedaje instalan y renuevan certificados sin costo de forma automática. Si el tuyo no lo hace, se puede instalar uno manualmente. Los certificados de pago con validación extendida existen, pero para la mayoría de los negocios uno estándar es suficiente.

Lo importante es que se renueve solo, porque un certificado vencido muestra un error todavía más alarmante.

Si tu proveedor te cobra aparte por el certificado básico, pregunta qué incluye. Para la mayoría de los negocios, un certificado gratuito y renovado de forma automática es suficiente; los de pago suelen agregar validaciones de identidad que pocos sitios necesitan.

A veces el sitio ya tiene certificado y sigue apareciendo un aviso. Suele deberse al contenido mixto: la página carga por HTTPS, pero algunas imágenes, scripts o estilos se cargan todavía por HTTP. El navegador lo considera inseguro. La solución es cambiar esas direcciones a HTTPS.

Las herramientas del navegador muestran qué elementos causan el problema.

Este problema aparece mucho después de mudar un sitio viejo: las imágenes y los scripts siguen apuntando a direcciones con http. Una revisión de la página con las herramientas del navegador muestra qué recursos faltan por cambiar.

Tener certificado no basta: el sitio debe redirigir todas las visitas por HTTP a HTTPS, y conviene activar una cabecera que le indique al navegador usar siempre HTTPS con tu dominio. Así nadie llega a una versión sin cifrar por un enlace viejo.

Al cambiar a HTTPS, también hay que actualizar la propiedad en Search Console y los enlaces internos.

HTTPS protege la comunicación, pero no hace seguro un sitio desactualizado ni asegura que el negocio sea confiable. Un sitio fraudulento también puede tener candado. Por eso HTTPS es lo mínimo, no lo único: también importan las actualizaciones, los accesos y las cabeceras de seguridad.

Revisa nuestra guía de seguridad básica para el resto.

Todos nuestros sitios usan HTTPS obligatorio, renovación automática del certificado y cabeceras de seguridad desde el primer día. Puedes revisar tu sitio actual con nuestro analizador gratuito.