Qué es un certificado SSL
Un certificado SSL es un pequeño archivo instalado en el servidor de tu web que cumple dos funciones: demuestra que el sitio pertenece de verdad a tu dominio y permite cifrar la conexión entre el navegador del visitante y tu servidor. Cuando está bien instalado, tu web abre con https:// en lugar de http://.
Hoy el protocolo que realmente se usa se llama TLS (las versiones 1.2 y 1.3); SSL es el nombre de su antecesor, ya retirado. Pero el nombre «certificado SSL» se quedó, y todo el mundo lo sigue usando para referirse a lo mismo.
En la práctica, el certificado evita tres cosas:
- Que alguien en la misma red wifi (un café, un aeropuerto) lea lo que tus visitantes escriben en tus formularios: nombres, teléfonos, contraseñas o datos de pago.
- Que un intermediario modifique tu página en el camino, por ejemplo para insertar publicidad o un enlace falso.
- Que el navegador marque tu web como «No seguro», algo que espanta a cualquier cliente antes de leer la primera línea.
Por qué tu web necesita HTTPS aunque no vendas en línea
Es un error pensar que el SSL solo hace falta en tiendas. Chrome, Edge, Firefox y Safari marcan como «No seguro» cualquier página sin HTTPS, sobre todo si tiene un formulario de contacto. Para quien llega desde un anuncio o desde Google, ese aviso es motivo suficiente para cerrar la pestaña.
Además, Google usa HTTPS como una de sus señales de posicionamiento. No es un factor que por sí solo te lleve al primer lugar, pero una web sin HTTPS parte en desventaja. Y muchas funciones modernas del navegador, como la geolocalización, los pagos en línea y algunas funciones de WordPress, directamente no funcionan sin HTTPS.
Si tienes una tienda, no hay discusión: las pasarelas de pago exigen HTTPS. Si estás armando una, revisa también nuestra guía para crear una tienda online con WooCommerce.
Tipos de certificado SSL
Todos los certificados cifran igual de bien. Lo que cambia es cuánto verifica la autoridad que los emite antes de entregarlos y a cuántos dominios cubren.
Por nivel de validación
Es lo que la autoridad certificadora comprueba antes de emitir el certificado:
- Validación de dominio (DV): solo comprueba que controlas el dominio. Se emite en minutos y de forma automática. Es el que usan la gran mayoría de webs, y el que se consigue gratis.
- Validación de organización (OV): además revisa que la empresa existe. Se usa en sitios corporativos y algunos servicios entre empresas.
- Validación extendida (EV): la revisión más estricta de la empresa. Hace años mostraba el nombre de la empresa en verde junto a la dirección; los navegadores dejaron de hacerlo, así que hoy su ventaja visible es mínima.
Por cantidad de dominios
Un certificado puede cubrir un solo nombre (tumarca.com y www.tumarca.com), varios dominios distintos en el mismo certificado (multidominio o SAN) o todos los subdominios de un dominio (comodín o wildcard, del tipo *.tumarca.com). Para una web de negocio con su versión con www, un certificado DV normal basta.
SSL gratis o de pago: cuál necesitas
Los certificados gratuitos más usados los emite Let's Encrypt, una autoridad certificadora sin fines de lucro reconocida por todos los navegadores. Son certificados DV con el mismo cifrado que uno de pago. Su particularidad es que duran 90 días y se renuevan solos de forma automática, por eso conviene que tu hosting se encargue de la renovación.
Un certificado de pago tiene sentido cuando necesitas validación OV o EV por exigencia de un cliente, de una licitación o de una norma interna, o cuando un sistema antiguo no permite la renovación automática. Para una web de negocio, una tienda con pasarela o un blog, el certificado gratuito es suficiente.
Un dato a tener en cuenta: la industria está acortando la vida máxima de todos los certificados, incluidos los de pago. El calendario aprobado por el CA/Browser Forum la reduce por etapas hasta 47 días en 2029. Eso significa que, gratis o de pago, la renovación automática deja de ser una comodidad y pasa a ser imprescindible.
Cómo activar un certificado SSL gratis paso a paso
El proceso cambia un poco según tu proveedor, pero los pasos son siempre estos:
1. Comprueba que el dominio apunta a tu hosting
La autoridad certificadora verifica el dominio visitándolo, así que el dominio debe apuntar ya al servidor donde instalarás el certificado. Si acabas de cambiar los DNS, espera a que el cambio se propague (puede tardar unas horas). La guía conectar tu dominio al hosting explica cómo hacerlo.
2. Activa el SSL desde el panel de tu hosting
La mayoría de hostings tienen una opción para emitir un certificado gratuito con un clic (suele llamarse SSL, Let's Encrypt o AutoSSL). Actívala para el dominio y también para su versión con www. Si tu hosting no ofrece certificados gratuitos ni permite instalarlos, es una señal clara de que conviene cambiar de proveedor.
3. Redirige todo el tráfico a HTTPS
Tener el certificado no basta: si alguien escribe http://tumarca.com, la web debe llevarlo automáticamente a https://. Esto se configura en el panel del hosting, en el archivo .htaccess en servidores Apache o en los ajustes de tu CMS. Usa una redirección permanente (301) para que Google traslade todo a la versión segura.
4. Actualiza la dirección de tu web en WordPress u otro CMS
En WordPress, ve a Ajustes › Generales y cambia la «Dirección de WordPress» y la «Dirección del sitio» a https://. Haz una copia de seguridad antes: un error en este campo puede dejarte fuera del panel. Si vas a hacer cambios en WordPress, también te servirá la guía para acelerar WordPress.
5. Corrige el contenido mixto
El contenido mixto es cuando una página en HTTPS carga imágenes, scripts o fuentes con http://. El navegador los bloquea o quita el candado. Ábrelo en Chrome, pulsa F12 y mira la pestaña «Console»: los avisos de «Mixed Content» te dicen qué archivo falla. Normalmente basta con cambiar http:// por https:// en esos enlaces, o reemplazarlos en la base de datos con una herramienta de búsqueda y reemplazo.
6. Avisa a Google y revisa tus enlaces
Si usas Google Search Console, agrega la propiedad con HTTPS (o una propiedad de dominio, que cubre ambas versiones) y envía de nuevo tu sitemap. Actualiza también el enlace de tu web en tu perfil de Google, en tus redes y en la firma de tu correo.
Cómo saber si tu SSL está bien instalado
Abre tu web en una ventana de incógnito y escribe la dirección con http://. Debe pasar sola a https:// sin avisos. Junto a la dirección no debe aparecer «No seguro». Pulsa el ícono a la izquierda de la dirección para ver a quién se emitió el certificado y hasta cuándo es válido.
Para una revisión más completa, usa la herramienta ¿Mi web es segura?: comprueba el certificado y su fecha de vencimiento, la redirección a HTTPS, el encabezado HSTS y la respuesta del servidor en unos segundos.
Problemas frecuentes y cómo resolverlos
Estos son los fallos que más vemos al activar o renovar un certificado:
- «Su conexión no es privada» o NET::ERR_CERT_DATE_INVALID: el certificado venció. Revisa que la renovación automática esté activa y que el dominio siga apuntando al hosting.
- El certificado funciona sin www pero no con www (o al revés): se emitió solo para una de las dos versiones. Vuelve a emitirlo incluyendo ambas.
- El candado aparece en la portada pero no en algunas páginas: hay contenido mixto en esas páginas, casi siempre imágenes subidas hace años.
- La web entra en un bucle de redirecciones: hay dos reglas de redirección que se contradicen, por ejemplo una en el hosting y otra en un CDN. Esto pasa mucho al combinar el hosting con Cloudflare en el modo «Flexible»; lo explicamos en qué es un CDN y cómo usar Cloudflare.
- El certificado no se emite: el dominio todavía no apunta al servidor o un registro CAA en tu DNS impide a esa autoridad emitirlo.
El SSL viene incluido en el hosting de Zodipe
Todos los planes de hosting web de Zodipe, desde USD 49 al año, incluyen certificado SSL para tu dominio: lo activamos al crear tu hosting y se renueva solo. Si tu web está en otro proveedor y sale como «No seguro», en la página de certificados SSL te contamos cómo la pasamos a HTTPS, con la redirección y el contenido mixto corregidos.
Recuerda que el SSL protege la conexión, no la web en sí: un WordPress desactualizado puede ser hackeado aunque tenga candado. Mantén al día el sistema, los plugins y las copias de seguridad.
Preguntas frecuentes
¿Un certificado SSL gratis es igual de seguro que uno de pago?
En cifrado, sí. Un certificado gratuito de validación de dominio usa el mismo cifrado que uno de pago. Lo que cambia en los de pago es la verificación de la empresa (OV o EV) y, a veces, el soporte.
¿Cada cuánto se renueva un certificado SSL?
Los gratuitos de Let's Encrypt duran 90 días y se renuevan solos si el hosting lo tiene configurado. Los de pago también tienen una vida máxima, que la industria está reduciendo por etapas.
¿Por qué mi web dice «No seguro» si ya tengo SSL?
Normalmente por contenido mixto (imágenes o scripts cargados con http://), porque la web no redirige a HTTPS o porque el certificado venció o no cubre la versión con www.
¿El SSL mejora mi posicionamiento en Google?
HTTPS es una señal que Google tiene en cuenta, pero su peso es pequeño. Su mayor efecto es evitar que los visitantes se vayan por el aviso de «No seguro».
¿El SSL protege mi web de hackeos?
No. Cifra la conexión entre el visitante y el servidor, pero no impide que alguien aproveche un plugin desactualizado o una contraseña débil. Para eso hacen falta actualizaciones y copias de seguridad.
¿Lo vemos para tu negocio?
Cuéntanos qué necesitas y te respondemos el mismo día con una propuesta y el precio final.