SSL y https: por qué tu web necesita el candado

SSL es la tecnología que codifica la información que viaja entre quien te visita y tu sitio web, para que nadie en el medio pueda leerla ni cambiarla. Cuando un sitio la tiene, la dirección empieza con https en lugar de http. En esta lección vas a ver qué son SSL y https, por qué todo sitio de un negocio los necesita, qué está cambiando en 2026 con la duración de los certificados y con Chrome, y cómo resolver los avisos más comunes.

Qué son SSL y https

Imagina que puedes mandar una postal o una carta en un sobre cerrado. Cualquiera que maneje la postal puede leerla, mientras que el sobre mantiene el mensaje en privado. Un sitio web sin protección funciona como la postal: la información pasa por muchas computadoras en el camino, y cualquiera de ellas podría leerla. Un sitio con SSL funciona como el sobre.

Cuando llenas un formulario, los datos viajan desde tu celular hasta el servidor por redes que no controlas: el wifi de una cafetería, un proveedor de internet, un router. El cifrado convierte esos datos en un código que solo pueden leer el navegador del visitante y tu servidor.

SSL, TLS y certificado: tres palabras para una misma idea

• SSL significa Secure Sockets Layer. Es el nombre antiguo, y la gente lo sigue usando.
• TLS significa Transport Layer Security. Es la versión moderna de la misma tecnología. Cuando hoy alguien dice SSL, casi siempre habla de TLS.
• Un certificado es un archivo pequeño instalado en tu hosting. Demuestra que el sitio realmente pertenece a tu dominio y activa el cifrado.
• https es el protocolo normal de la web con esa capa segura agregada. La s es de seguro.

Qué significa el candado y qué no significa

Durante años, los navegadores mostraron un candado junto a la dirección de un sitio seguro. Chrome lo reemplazó en 2023 por un ícono neutro que abre los detalles de la conexión, mientras que otros navegadores siguen mostrando un candado. Sea cual sea el ícono, te dice dos cosas: la conexión está cifrada y el sitio coincide con su certificado.

No te dice que el negocio sea honesto ni que el sitio no pueda ser hackeado. Los sitios de estafas también usan https. El candado protege el viaje de los datos, no el carácter del dueño. Por eso https es el mínimo de un sitio confiable, no la prueba de que lo sea.

Por qué todo sitio de un negocio necesita https

• Protege lo que la gente escribe. Nombres, correos, teléfonos, mensajes, contraseñas y pagos nunca deberían viajar a la vista. Hasta un formulario de contacto simple lleva información personal.
• Los navegadores avisan cuando no lo tienes. Chrome marca desde hace años como "No seguro" las páginas con http simple. Además, Google anunció que, desde Chrome 154, en octubre de 2026, Chrome iba a pedir una conexión segura por defecto y a mostrar un aviso antes de abrir un sitio público que no admita https. Un visitante que ve un aviso suele irse.
• Genera confianza. Los clientes notan cuando un sitio parece seguro, y lo notan todavía más cuando no.
• A Google le gusta. En 2014 Google anunció que https es una señal leve de posicionamiento. No va a llevar a un sitio flojo a los primeros puestos, pero un sitio sin https parte con desventaja.
• Muchas herramientas lo exigen. Los proveedores de pago, funciones del navegador como la ubicación y muchas integraciones solo funcionan en páginas seguras.
• Cuida tu reputación. Un sitio al que alguien le modifica el contenido en el camino, con anuncios o código malicioso agregado, perjudica la imagen de tu negocio.

No hay excepciones para los sitios pequeños ni para los sitios sin formularios. Todo sitio de un negocio necesita https.

Qué significan los avisos y quién los arregla

• "No seguro" junto a la dirección. La página se carga con http, o mezcla partes seguras con partes inseguras. Tú o tu hosting tienen que instalar un certificado y redirigir http a https.
• "Tu conexión no es privada". El certificado venció, se instaló mal, o el dispositivo del visitante tiene la fecha equivocada. Revisa primero la fecha de vencimiento, y renueva o vuelve a instalar el certificado.
• Contenido mixto. La página es segura, pero carga una imagen, un script o una tipografía con http. Cambia esos enlaces a https. Quien arma tu sitio, o tu hosting, puede encontrarlos.
• El certificado no coincide con el nombre. El certificado se emitió para una dirección, por ejemplo la versión sin www, y el visitante usó otra. Pídele a tu hosting que cubra las dos versiones.

Si un visitante te cuenta que ve un aviso, no lo ignores. Compruébalo tú en un celular y en una computadora.

Tipos de certificados y cuál necesitas

• Validación de dominio (DV). Demuestra que controlas el dominio. Se emite en minutos, y es todo lo que necesita la mayoría de los negocios pequeños. Existen opciones gratuitas, como los certificados de Let's Encrypt, una autoridad certificadora sin fines de lucro, y muchos servidores de hosting instalan uno por ti.
• Validación de organización (OV) y validación extendida (EV). Suman verificaciones de la identidad del negocio. La mayoría de los navegadores ya no los destaca en la barra de direcciones, así que para un sitio pequeño suman costo y poco más.
• Certificados comodín. Un solo certificado para un dominio y todos sus subdominios.
• Certificados de varios dominios. Un solo certificado para varios dominios distintos.

El cifrado de un certificado gratuito es tan fuerte como el de uno pago. Los certificados pagos suman cosas como una garantía, la validación del negocio y soporte. No pagues dos veces: si tu hosting te da un certificado, no necesitas comprar otro.

Los certificados duran cada vez menos, así que la renovación tiene que ser automática

Los certificados no duran para siempre. Según las reglas acordadas entre los fabricantes de navegadores y las empresas que emiten certificados, la duración máxima de un certificado público se va acortando por etapas:

• Desde el 15 de marzo de 2026, un certificado puede durar como máximo 200 días.
• Desde el 15 de marzo de 2027, el límite baja a 100 días.
• Desde el 15 de marzo de 2029, baja a 47 días.

La costumbre antigua de renovar un certificado una vez al año a mano se está terminando. Una renovación olvidada hace que tu sitio muestre un aviso a todos los visitantes, así que la renovación tiene que ser automática. Comprueba que tu hosting o tu estudio renueve tu certificado solo, y pregunta quién es responsable si falla. Si compras un certificado por separado, configúralo para que se renueve automáticamente.

Cómo conseguir https en tu sitio, paso a paso

1. Busca el certificado gratuito en tu hosting. La mayoría de los paneles de control tienen una sección de SSL o de certificados. Activa el certificado para tu dominio, incluida la versión con www.
2. Configura tu sitio para que use https. La dirección del sitio en los ajustes debe empezar con https.
3. Redirige http a https. Quien escriba la dirección anterior tiene que llegar solo a la página segura.
4. Arregla el contenido mixto. Actualiza las imágenes, los scripts o los enlaces que todavía usen http.
5. Actualiza tus enlaces. Revisa tu perfil de Google Business, tus perfiles en redes, la firma de tu correo y tus anuncios.
6. Prueba. Visita las páginas principales en un celular y en una computadora. Una prueba gratuita como la SSL Server Test de Qualys SSL Labs revisa la configuración al detalle.
7. Activa la renovación automática. Y de todos modos anota la fecha de vencimiento en tu calendario.

Si tu sitio usa un constructor o WordPress

Los constructores de sitios normalmente activan https por ti, y solo tienes que comprobar que tu propio dominio esté conectado. Con WordPress, el certificado lo da tu hosting, y después configuras la dirección del sitio con https y arreglas los enlaces viejos. Un plugin puede ayudar a encontrar el contenido mixto, pero lo más simple es pedirle a quien armó el sitio que haga una búsqueda y reemplazo de las direcciones antiguas.

Qué pasa con tu posicionamiento cuando haces el cambio

Si tu sitio estaba en http y lo pasas a https, la dirección de cada página cambia. Una redirección correcta de cada dirección vieja a la nueva le avisa a Google que las páginas se mudaron, y tus resultados se conservan. Una redirección que falta o está rota puede hacer que algunas páginas salgan un tiempo de los resultados. Prueba unas cuantas páginas escribiendo la dirección vieja y mirando adónde llegas.

Cómo revisar cualquier sitio en dos minutos

Puedes revisar tu propio sitio, y el de un competidor, sin herramientas especiales.

• Mira la dirección. Tiene que empezar con https, y el navegador no debe mostrar ningún aviso.
• Haz clic en el ícono que está junto a la dirección. Tiene que decir que la conexión es segura, y te deja ver el certificado y su fecha de vencimiento.
• Abre también el sitio en un celular, y usa tu propio formulario de contacto para comprobar que no se ve nada raro.
• Prueba la versión de tu dirección sin www, y con ella. Las dos deberían terminar en la misma página segura.

Quién es responsable de tu certificado

Un certificado involucra a varias personas, y un hueco entre ellas es la forma en que se olvidan las renovaciones. Trabajes con una empresa de hosting, un estudio o un freelance, haz estas tres preguntas y guarda las respuestas por escrito.

1. ¿Quién instala el certificado, y quién lo renueva?
2. ¿Qué pasa si falla una renovación, y quién recibe la alerta?
3. Si me mudo a otro hosting, ¿quién vuelve a configurar el certificado?

Si la respuesta a la primera pregunta es "tú", pon un recordatorio y aprende dónde hay que hacer clic. Si la respuesta es "el hosting" o "el estudio", pregunta cómo te avisarían de un problema antes de que lo encuentren tus visitantes.

Errores comunes

• Dejar que el certificado venza. Es el problema más común, y ahora es más fácil causarlo porque los certificados duran menos. Usa la renovación automática.
• Proteger solo la página de inicio. Todas las páginas deberían cargar con https.
• Olvidarte de la versión con www. El certificado tiene que cubrir las dos versiones de tu dirección.
• Dejar enlaces viejos con http. Generan contenido mixto y avisos.
• Pagar un certificado que ya tienes. Muchos servidores de hosting incluyen uno.
• Creer que https es el final de la seguridad. Protege los datos en tránsito. Igual necesitas actualizaciones, contraseñas fuertes y copias de seguridad.

https y tu web

Una conexión segura es una pieza para mantener un sitio a salvo. En Good Sites Only, el hosting viene incluido en cada sitio, y el plan de mantenimiento Care, un servicio mensual que puedes sumar, cubre las copias de seguridad, las actualizaciones y la seguridad. Puedes ver los sitios que hacemos en nuestros diseños.

Preguntas frecuentes