¿Qué es HTTPS y por qué tu web lo necesita?

Seguro que has visto estas cinco letras al principio de miles de direcciones:

https://www.cdmon.com

Normalmente pasamos por encima de ellas. Escribimos el dominio, la página se abre y seguimos navegando. Sin embargo, que una dirección empiece por HTTPS significa que la información intercambiada entre el navegador y el servidor viaja protegida.

HTTPS cifra los datos que intercambian una web y sus visitantes. Para utilizarlo, el servidor necesita un certificado digital válido.

Sin esta protección, una contraseña, los datos de un formulario o la información de una compra podrían transmitirse sin unas garantías mínimas de seguridad.

Hace años, HTTPS se asociaba casi exclusivamente con bancos y tiendas online. Hoy debería estar presente en cualquier web, desde un blog informativo hasta una página corporativa con un sencillo formulario de contacto.

Qué ocurre al visitar una web con HTTPS

Cuando accedes a una página, el navegador solicita al servidor diferentes archivos: textos, imágenes, estilos, tipografías o scripts. El servidor recibe la petición y devuelve todo lo necesario para mostrar la web.

HTTPS protege ese intercambio antes de que la información salga de cada extremo.

La comparación habitual es la de una postal frente a una carta cerrada. El contenido de una postal queda a la vista durante todo el trayecto. Una carta, en cambio, introduce una capa de protección. HTTPS hace algo parecido con los datos que viajan entre tu navegador y la página que visitas.

Para establecer esa comunicación segura, el servidor presenta un certificado digital. El navegador comprueba que pertenezca al dominio correcto, que no haya caducado y que proceda de una autoridad reconocida.

Si todo está en orden, el navegador y el servidor establecen una conexión cifrada. El proceso dura apenas unos instantes y normalmente ni siquiera lo percibimos.

Cuando algo no encaja, el navegador muestra una advertencia. Puede ocurrir, por ejemplo, si el certificado ha caducado o si se ha emitido para ejemplo.com, pero el usuario intenta entrar desde www.ejemplo.com y esa segunda dirección no está incluida.

Qué protege HTTPS y qué no

HTTPS cifra la información durante el trayecto para evitar que pueda leerse directamente si alguien intercepta la comunicación. De esta forma protege contraseñas, datos personales y la información enviada mediante formularios.

También dificulta que alguien intercepte o modifique los datos. Esto resulta especialmente importante cuando se navega desde redes públicas o poco fiables.

Pero HTTPS tiene un límite muy claro: protege el trayecto de la información, no toda la web.

Imagina una tienda online que utiliza HTTPS, pero tiene WordPress y varios plugins sin actualizar. Los datos de sus clientes viajarán cifrados, aunque la página continúe expuesta a vulnerabilidades.

Una web con HTTPS también puede contener malware o formar parte de una campaña de phishing. El certificado confirma que estás conectado de forma segura al dominio indicado, pero no garantiza que la persona que lo controla tenga buenas intenciones.

Por eso, HTTPS debe acompañarse de otras medidas para proteger la web, como actualizaciones, copias de seguridad, contraseñas seguras y una correcta protección del servidor. El certificado es una parte de la seguridad, no un sustituto de todo lo demás.

SSL y TLS: por qué utilizamos ambos nombres

Aunque solemos hablar de “certificados SSL”, las conexiones modernas utilizan TLS.

SSL fue el protocolo original. Con el tiempo quedó obsoleto y fue sustituido por TLS, una tecnología más segura. La expresión “certificado SSL” se ha mantenido porque es el nombre que reconoce la mayoría de los usuarios y el que se utiliza habitualmente en el mercado.

Por tanto, cuando encuentres un hosting con certificado SSL, normalmente se refiere a un certificado que permite establecer conexiones HTTPS mediante TLS. Si quieres ampliar esta parte, consulta nuestra introducción a los certificados SSL.

Los servidores actuales deberían trabajar con TLS 1.2 o TLS 1.3. Las versiones anteriores han dejado de ofrecer una protección adecuada y muchas ya no son compatibles con los navegadores modernos.

Qué ocurre si tu web todavía utiliza HTTP

Cuando un navegador marca una web como “No segura”, no está diciendo necesariamente que sea fraudulenta. Está avisando de que la información intercambiada con esa página no viaja cifrada.

El riesgo resulta especialmente importante cuando la web solicita:

• Una contraseña.
• Datos personales.
• Información bancaria.
• El envío de un formulario.
• El acceso a un área privada.

Además de exponer los datos, el aviso del navegador puede ser suficiente para que una persona abandone la página antes de registrarse, contactar o comprar.

En una web actual, HTTPS ya no debería considerarse un extra. Es la configuración mínima que esperan tanto los usuarios como los navegadores.

¿HTTPS ayuda al SEO?

Sí, pero no esperes una subida de posiciones solo por instalar un certificado.

Google prefiere las versiones HTTPS cuando encuentra páginas equivalentes y considera la seguridad como parte de una experiencia adecuada. Sin embargo, la calidad del contenido, su relevancia y la respuesta que ofrece a la búsqueda tienen mucho más peso.

El problema SEO aparece cuando una web mantiene accesibles dos versiones:

http://ejemplo.com

https://ejemplo.com

Aunque para una persona parezcan la misma página, técnicamente son dos URL diferentes. Si la configuración no está bien resuelta, los enlaces, el rastreo y las señales de posicionamiento pueden quedar repartidos entre ambas.

La dirección HTTP debe conducir a su equivalente HTTPS mediante una redirección permanente. Las etiquetas canónicas, los enlaces internos y el sitemap también deben utilizar las direcciones seguras.

Si vas a migrar una web existente, tendrás que revisar otros elementos, como las redirecciones, el contenido mixto, los enlaces internos, el sitemap y la configuración de Google Search Console. Es un proceso que conviene tratar en una guía específica sobre cómo migrar de HTTP a HTTPS.

Cómo redirigir de HTTP a HTTPS

Activar el certificado no basta para que todas las visitas utilicen la conexión segura. La versión HTTP debe redirigir de forma permanente, mediante un código 301, hacia la misma dirección en HTTPS.

Por ejemplo, http://ejemplo.com/contacto debe llevar directamente a https://ejemplo.com/contacto. No conviene enviar todas las páginas antiguas a la portada, porque se perdería la correspondencia entre URL.

La forma de hacerlo depende de cómo esté construida la web. En WordPress, PrestaShop, Joomla o Moodle puede configurarse desde el propio CMS o con las opciones recomendadas para cada plataforma. En una web con programación propia también puede forzarse desde el archivo .htaccess.

Consulta cómo configurar el certificado SSL según tu CMS o sigue la guía completa para redirigir HTTP a HTTPS. Antes de modificar .htaccess o instalar un plugin, haz una copia de seguridad y evita activar varias redirecciones a la vez, ya que podrían provocar un bucle.

Qué certificado necesita tu proyecto

Una web que utiliza un único dominio normalmente no necesita pagar por un certificado wildcard o multidominio.

Para la mayoría de blogs, portfolios y páginas corporativas es suficiente un certificado con validación de dominio. Este tipo de certificado comprueba que quien lo solicita controla el dominio.

La elección cambia cuando el proyecto utiliza varios subdominios. Un certificado wildcard puede cubrir direcciones como:

• blog.ejemplo.com
• tienda.ejemplo.com
• clientes.ejemplo.com

Si necesitas proteger dominios completamente diferentes, puede ser más adecuado un certificado multidominio.

También existen certificados que añaden comprobaciones sobre la organización la solicitante. Su utilidad depende de las necesidades legales, técnicas y comerciales del proyecto, no de que proporcionen necesariamente un cifrado más fuerte para una web convencional.

En cdmon puedes consultar y gestionar los certificados desde el apartado Seguridad → Certificados SSL del alojamiento. El panel muestra el certificado instalado para el dominio principal y permite revisar los subdominios o alias asociados. También puedes elegir entre el certificado gratuito de Let’s Encrypt y otras modalidades de certificados SSL.

Cómo comprobar que HTTPS funciona correctamente

Que la portada cargue mediante HTTPS no demuestra que toda la web esté bien configurada.

Haz una comprobación rápida:

• Escribe la dirección comenzando por http://.
• Confirma que termina en la misma dirección con HTTPS.
• Abre varias páginas interiores.
• Revisa algún formulario o área privada.
• Comprueba que no falten imágenes, estilos o tipografías.
• Consulta la información del certificado desde el navegador.

Uno de los problemas que encontramos con más frecuencia después de activar HTTPS no está en el certificado. A veces es una imagen antigua, una plantilla o una extensión la que todavía intenta cargar algún recurso mediante HTTP.

La portada puede utilizar HTTPS correctamente, pero ese único elemento puede provocar una advertencia o hacer que la página no se considere completamente segura.

Esto se conoce como contenido mixto: la página principal se abre mediante HTTPS, pero solicita alguna imagen, fuente, hoja de estilo o script mediante HTTP. Los navegadores pueden advertir del problema o bloquear los recursos activos, como scripts y hojas de estilo.

Para localizarlo, abre las herramientas de desarrollo del navegador y revisa las pestañas Consola y Red. Busca solicitudes que empiecen por http://. Después, corrige la URL en el contenido, la plantilla, el plugin o la base de datos que la esté generando; no basta con ocultar la advertencia.

También puedes comprobar la instalación y vigencia del certificado con SSL Shopper y buscar recursos inseguros con Why No Padlock. Conviene revisar varias páginas, no solo la portada, porque el contenido mixto puede aparecer únicamente en una entrada, formulario o sección concreta.

También debes comprobar que el certificado incluya todas las direcciones utilizadas. Si una web funciona con y sin www, ambas variantes deben estar cubiertas. Lo mismo sucede con los subdominios.

Si aparece un error como ERR_SSL_PROTOCOL_ERROR, una advertencia relacionada con el certificado o un bucle de redirecciones, no conviene añadir reglas al azar. El origen puede estar en el servidor, el CMS, un plugin, una CDN o en la propia cobertura del certificado.

Antes de darlo por terminado

HTTPS protege la comunicación entre tu web y sus visitantes. No elimina todas las amenazas, pero evita que los datos viajen sin cifrar y permite comprobar que el navegador se conecta al dominio indicado.

Antes de considerar terminada la configuración, revisa tres cosas:

• Las direcciones HTTP llevan a su equivalente HTTPS.
• La web no carga imágenes ni otros archivos mediante HTTP.
• El certificado cubre todos los dominios y subdominios utilizados.

En los planes de hosting de cdmon puedes solicitar, activar y gestionar el certificado SSL desde el panel de control. Si algo no encaja, desde un certificado que no cubre un subdominio hasta una web que entra en un bucle de redirecciones, puedes consultar nuestras guías o contactar con el equipo de soporte 24/7.te en una herramienta indispensable para cualquier sitio web que aspire a destacar en el entorno digital.