Qué es HTTPS y por qué usarlo en tu sitio web
Lo que aprenderás:
- Qué protege exactamente
- «Mi sitio no maneja datos sensibles, no lo necesito»
- Qué tiene que ver con el SEO
- Cómo se implementa hoy, y por qué ya no se compra
- Cómo comprobar que el tuyo está bien puesto
- Preguntas frecuentes
El HTTPS es el protocolo que cifra lo que viaja entre tu sitio web y el navegador de quien lo visita, para que nadie por el camino pueda leerlo ni modificarlo. Es la versión segura del HTTP de toda la vida —de ahí la S— y desde 2018 los navegadores marcan como «no seguro» cualquier sitio que no lo use.
Revisado en agosto de 2026. El artículo es de 2021 y decía que hay que comprar un certificado de seguridad. Eso dejó de ser cierto: los certificados son gratuitos desde hace años y casi todos los hospedajes los instalan solos. Se corrigió esa parte, que es justo la que hace que la gente crea que el HTTPS es un gasto.
Qué protege exactamente
Tres cosas, y conviene distinguirlas porque se confunden:
- Confidencialidad. Nadie en el camino puede leer lo que se envía. Ni tu proveedor de internet, ni quien administra el wifi de la cafetería.
- Integridad. Nadie puede modificar la página antes de que te llegue. Sin HTTPS, un intermediario puede inyectar anuncios o código en tu sitio y tú ni te enteras.
- Autenticidad. El navegador comprueba que el servidor con el que habla es de verdad el dominio que dice ser.
La segunda es la que casi nadie menciona y es la que más daño evita.
Lo que el HTTPS no hace: no vuelve seguro tu sitio. Un sitio con el candado puede tener un WordPress sin actualizar, contraseñas débiles o un formulario que guarda datos donde no debe. El candado dice que la conexión está protegida, no que el sitio esté bien hecho.
«Mi sitio no maneja datos sensibles, no lo necesito»
Es la idea equivocada más extendida, y viene de pensar que el HTTPS es cosa de bancos.
Cualquier conexión sin cifrar revela información sobre quién eres y qué haces. Un ejemplo concreto: alguien lee un artículo sobre una condición médica en un sitio sin proteger. Esa información queda visible para cualquiera que esté en la misma red, y sirve para preparar un ataque dirigido de spear phishing —un correo hecho a medida de esa persona— con muchísimas más probabilidades de funcionar que uno genérico.
No hace falta que tu sitio pida una tarjeta para que exponga a quien lo visita.
Qué tiene que ver con el SEO
Desde 2014, Google usa el HTTPS como factor de posicionamiento. Es una señal ligera —no vas a subir puestos solo por activarlo—, pero está ahí.
El efecto grande no es ese: es que los navegadores avisan. Cuando alguien ve «No seguro» en la barra de direcciones, muchas veces cierra la pestaña sin leer nada. Eso no es una penalización de Google; es tráfico que se va, y cuenta igual.
Puedes ver cómo encaja esto en el resto del trabajo en nuestra página de SEO web.
Cómo se implementa hoy, y por qué ya no se compra
Esta es la parte que cambió desde que escribimos el artículo.
El HTTPS funciona con un certificado, que es lo que le permite al navegador comprobar la identidad del servidor y establecer la conexión cifrada mediante TLS.
Durante años ese certificado había que comprarlo. Hoy no. Let's Encrypt emite certificados gratuitos y automáticos, y prácticamente todos los proveedores de hospedaje serios los instalan y los renuevan solos. Si alguien te está cobrando aparte por «el certificado SSL», pregunta qué te está dando exactamente que no venga incluido.
Hay certificados de pago con validación extendida de la organización, pero para la enorme mayoría de los sitios no aportan nada que el visitante llegue a ver.
Lo que sí requiere trabajo, y es donde se falla:
- Redirigir todo el tráfico de
http://ahttps://, para que no queden dos versiones del sitio. - Arreglar el contenido mixto: imágenes, scripts u hojas de estilo que se siguen cargando por
http://dentro de una páginahttps://. Eso rompe el candado. - Actualizar los enlaces internos para que apunten a la versión segura y no pasen por un salto extra.
Cómo comprobar que el tuyo está bien puesto
Lo básico lo ves tú mismo: abre tu sitio y mira la barra de direcciones. Debe leerse https:// y el navegador no debe marcar ninguna advertencia.
Candado de https
Pero el candado solo dice que hay certificado, no que la configuración sea buena. Para eso hace falta mirar la versión del protocolo, los cifrados habilitados y las cabeceras de seguridad. Eso lo cubrimos en más allá del HTTPS, donde también está la herramienta gratuita que te da una nota de la A a la F.
Preguntas frecuentes
¿El HTTPS hace mi sitio más lento?
No. Era un argumento válido hace más de una década; hoy, con las versiones modernas del protocolo, la diferencia es despreciable. Y varias funciones del navegador —y el HTTP/2, que sí acelera— solo están disponibles sobre HTTPS.
¿Tengo que renovar el certificado cada año?
Los gratuitos se renuevan solos, normalmente cada pocos meses, sin que tengas que hacer nada. Si el tuyo caduca y el sitio queda inaccesible, no es un problema del certificado: es que la renovación automática no estaba configurada.
Tengo el candado, ¿ya estoy protegido?
Estás protegido en el tránsito de la información, que es una parte. La otra es el sitio en sí: actualizaciones, contraseñas, copias de seguridad, permisos. Sobre eso escribimos en medidas de seguridad y privacidad digital.
Mi sitio muestra «no seguro» aunque tengo certificado, ¿por qué?
Casi siempre es contenido mixto: algún recurso de la página se sigue pidiendo por http://. El navegador tiene razón en avisar, porque ese recurso viaja sin protección. Se arregla cambiando esas direcciones a https://.
El HTTPS ya no es la excepción
Es la regla, y hace años que lo es: por seguridad, por funcionalidad, por proteger a quien te visita y por posicionamiento.
Si tu sitio todavía no lo tiene, el obstáculo ya no es el dinero. Es que nadie se ha sentado a configurarlo.