Mi web sale como «No es seguro»: cómo pasar a HTTPS

Respuesta corta: Chrome pone «No es seguro» cuando tu web se abre por http:// en lugar de https://, o cuando una página segura carga imágenes, scripts o formularios por HTTP (contenido mixto). Para quitarlo: instala un certificado SSL (gratuito con Let’s Encrypt), cambia las URLs de WordPress a https://, redirige todo el tráfico HTTP con un 301 y corrige el contenido mixto que quede.

Qué significa «No es seguro»

El aviso no quiere decir que tu web esté hackeada. Quiere decir que la conexión entre el visitante y tu servidor no va cifrada, así que cualquiera en medio (la Wi-Fi de una cafetería, un proveedor de Internet, un equipo comprometido en la red) puede leer o modificar lo que se envía: formularios de contacto, contraseñas, datos de pedidos.

Los navegadores llevan años empujando hacia HTTPS:

• Chrome marca como «No es seguro» cualquier página servida por HTTP, y lo resalta más cuando hay un formulario.
• Las páginas HTTPS que intentan cargar recursos por HTTP ven cómo el navegador intenta subirlos a HTTPS y, si no puede, los bloquea. Resultado: imágenes que no salen, estilos rotos o formularios que avisan antes de enviar.
• Google ha anunciado que Chrome activará por defecto la opción de usar siempre conexiones seguras, que avisa antes de abrir webs públicas por HTTP, a partir de Chrome 154 (previsto para octubre de 2026).

Además, HTTPS es requisito para cosas que dependen de él: HTTP/2 y HTTP/3 en los navegadores, muchas APIs modernas del navegador, el pago con tarjeta y, por supuesto, la confianza del visitante.

Cómo saber qué te pasa

Hay dos casos distintos, y se arreglan de forma distinta.

Caso 1: la web va por HTTP

La barra de direcciones muestra «No es seguro» y la dirección empieza por http://. Comprueba si el servidor responde por HTTPS:

curl -sSI http://tudominio.com | head -5
curl -sSI https://tudominio.com | head -5

• Si la segunda falla con un error de conexión, el servidor no tiene HTTPS configurado.
• Si falla con un error de certificado, el certificado existe pero está mal: mira errores de certificado SSL.
• Si la segunda funciona pero la primera no redirige (no ves un 301 con Location: https://…), tienes HTTPS pero nadie te lleva a él.

Caso 2: la web va por HTTPS pero carga contenido mixto

La dirección empieza por https://, pero el candado sale tachado o con un aviso, y en la consola del navegador (F12 > Consola) aparecen mensajes de Mixed Content. Para encontrar los recursos HTTP desde la terminal:

curl -s https://tudominio.com | grep -oE '(src|href|action)="http://[^"]+"' | sort -u

Esto solo mira la portada y el HTML inicial; los recursos cargados por JavaScript o desde el CSS hay que buscarlos en la consola del navegador, página a página.

Cómo pasar tu web a HTTPS paso a paso (WordPress)

Antes de empezar, haz una copia de seguridad completa: ficheros y base de datos. Si quieres la referencia oficial, WordPress lo explica en su guía de HTTPS.

1. Instala el certificado. En casi todos los hostings con panel (Plesk, cPanel y paneles propios) hay una opción de Let’s Encrypt gratuita: actívala para tudominio.com y www.tudominio.com. En un servidor propio, con certbot:

sudo certbot --nginx -d tudominio.com -d www.tudominio.com

1. Comprueba que la web abre por HTTPS escribiendo a mano https://tudominio.com antes de tocar WordPress. Si no abre, no sigas: arregla primero el certificado.
2. Cambia las direcciones de WordPress. En Ajustes > Generales, pon https:// en «Dirección de WordPress» y «Dirección del sitio». Si esos campos están bloqueados, es porque están definidos en wp-config.php:

define( 'WP_HOME', 'https://tudominio.com' );
define( 'WP_SITEURL', 'https://tudominio.com' );

1. Cambia las URLs antiguas de la base de datos. Las imágenes y enlaces internos de entradas y páginas siguen guardados con http://. Con WP-CLI, primero en modo prueba:

wp search-replace 'http://tudominio.com' 'https://tudominio.com' --all-tables --skip-columns=guid --dry-run
wp search-replace 'http://tudominio.com' 'https://tudominio.com' --all-tables --skip-columns=guid

WP-CLI respeta los datos serializados de WordPress; no hagas este cambio con un UPDATE de SQL a pelo, porque rompe ajustes de plugins y constructores. Si no tienes WP-CLI, un plugin de búsqueda y reemplazo que trate datos serializados hace lo mismo. Repite con http://www.tudominio.com si se usaba esa variante.

1. Redirige todo HTTP a HTTPS con un 301. En Apache, en el .htaccess, por encima de las reglas de WordPress:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

En Nginx:

server {
    listen 80;
    server_name tudominio.com www.tudominio.com;
    return 301 https://tudominio.com$request_uri;
}

Muchos paneles tienen una casilla para esto («Redirigir de HTTP a HTTPS» o «Forzar HTTPS»). Usa una sola de las tres opciones: dos redirecciones a la vez acaban en bucles.

1. Si estás detrás de un proxy o CDN (Cloudflare, un balanceador) y entras en un bucle de redirecciones, WordPress no sabe que la conexión original era HTTPS. Añade esto en wp-config.php, antes de la línea que dice que dejes de editar:

if ( isset( $_SERVER['HTTP_X_FORWARDED_PROTO'] ) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https' ) {
    $_SERVER['HTTPS'] = 'on';
}

En Cloudflare, usa el modo SSL «Full (strict)» con un certificado válido en tu servidor. El modo «Flexible» cifra solo hasta Cloudflare y es fuente habitual de bucles.

1. Corrige el contenido mixto que quede: URLs escritas a mano en el tema, en widgets de HTML, en el CSS personalizado o en los ajustes del constructor de páginas, y recursos externos que se cargaban por HTTP (fuentes, iframes, scripts de terceros).
2. Actualiza lo que está fuera de WordPress: añade la versión HTTPS en Google Search Console, comprueba que el sitemap lista URLs https://, y cambia la URL en Google Business Profile, redes sociales, firmas de correo y campañas.
3. Cuando todo funcione durante unas semanas, valora HSTS. Obliga al navegador a usar siempre HTTPS. Empieza con un max-age corto y súbelo cuando estés seguro, porque mientras dure no hay vuelta atrás:

add_header Strict-Transport-Security "max-age=86400" always;

Errores habituales

• Cambiar las direcciones de WordPress antes de tener el certificado. Te quedas sin acceso al panel. Se arregla definiendo WP_HOME y WP_SITEURL con http:// en wp-config.php hasta que el certificado funcione.
• Redirigir con 302 en lugar de 301. Google tarda más en consolidar las URLs nuevas.
• Redirigir solo la portada. Cada URL HTTP debe llevar a la misma URL en HTTPS, no a la portada.
• Usar un plugin para «forzar HTTPS» en lugar de corregir la base de datos. Funciona, pero deja la web dependiendo de un plugin que reescribe cada página.
• Olvidar la variante www en el certificado o en la redirección.
• Activar HSTS con un año de duración el primer día. Si algo falla en el certificado, tus visitantes no podrán entrar de ninguna forma hasta que lo arregles.

Para agencias: qué webs de tus clientes siguen sin HTTPS

Siguen quedando webs de clientes sin HTTPS o con certificado pero sin redirección: webs antiguas, micrositios de campañas, el blog que vive en otro hosting.

Jeffrey revisa cada día cómo responde cada web. Si solo contesta por http://, abre un aviso «La web no tiene HTTPS», para revisar cuando puedas. Si el certificado está pero no es válido, lo trata como un problema de certificado y te avisa como crítico. El Radar de Jeffrey, además, distingue el caso intermedio: «Tiene certificado, pero la web no lleva a HTTPS». Es una buena forma de enseñarle al cliente qué hay que arreglar y por qué.

Preguntas frecuentes