¿Qué es SSL y por qué aparece «no seguro» en mi web?
El aviso «no seguro» o «no es seguro» aparece cuando la conexión entre el navegador y su sitio no está cifrada, o no lo está del todo. Hay cinco causas posibles: no hay certificado, ha caducado, se emitió para otro nombre de host, la página carga elementos por http, o el visitante llega a la versión http porque no hay redirección a https.
Qué hace un certificado SSL
Un certificado SSL cifra el tráfico entre el visitante y su servidor y demuestra que el navegador habla con el servidor correcto. También hace falta en un sitio sin formularios: los navegadores marcan cualquier página http como no segura y los buscadores tienen en cuenta https como señal.
Primero mire: ¿qué aviso ve exactamente?
Chrome y Edge muestran un código debajo de la advertencia a pantalla completa. Ese código señala la causa.
- «No es seguro» en la barra de direcciones, pero la página carga con normalidad: está en la dirección http. Causa 1 o 5.
- NET::ERR_CERT_DATE_INVALID: el certificado ha caducado, o el reloj de su dispositivo está mal. Causa 2.
- NET::ERR_CERT_COMMON_NAME_INVALID: el certificado pertenece a otro nombre. Causa 3.
- NET::ERR_CERT_AUTHORITY_INVALID: el certificado no procede de una entidad emisora reconocida. Trátelo como la causa 1.
- La advertencia solo sale en algunas páginas, o desaparecen imágenes y estilos: contenido mixto. Causa 4.
1. No hay certificado
Sin certificado, la versión https de su sitio no existe. Nuestros planes de alojamiento incluyen un certificado gratuito de Let's Encrypt que se renueva automáticamente. Un certificado así solo puede emitirse cuando el nombre de dominio apunta al alojamiento, porque la entidad emisora comprueba antes que el nombre llega de verdad a ese servidor. Si acaba de cambiar el DNS, puede que el certificado aún no esté. Por qué tarda un poco lo explica por qué un cambio de DNS tarda a veces tanto. Si después sigue sin aparecer, póngase en contacto con nosotros.
2. El certificado ha caducado
Todo certificado tiene una fecha de fin. Los de Let's Encrypt tienen a propósito una validez corta y por eso se renuevan automáticamente. Esa renovación falla cuando el nombre de dominio ya no apunta al servidor, por ejemplo porque el DNS se ha trasladado a otro proveedor. Si la advertencia solo la ve usted y los demás no, compruebe la fecha y la hora de su propio dispositivo: con el reloj mal, cualquier certificado parece no válido.
3. El certificado no corresponde al nombre de host
Un certificado solo vale para los nombres que figuran en él. Si solo figura www.sudominio.be y alguien visita sudominio.be, salta una advertencia. Lo mismo ocurre con un subdominio que no está en el certificado, o justo después de una mudanza, cuando el dominio todavía apunta al servidor antiguo. Haga clic en la advertencia del navegador y consulte el certificado: en los detalles aparece para qué nombres es válido. Deben figurar las dos variantes, con y sin www.
4. Contenido mixto
La causa más frecuente cuando sí hay un certificado válido. La página llega por https, pero en el código fuente quedan direcciones que empiezan por http: una imagen, un script, una fuente. Los scripts y las hojas de estilo con una dirección así los bloquea el navegador; las imágenes intenta cargarlas él mismo por https y las omite si no lo consigue. El resultado es una advertencia, o una página a la que le faltan partes.
- Abra la página, pulse F12 y mire la pestaña Consola. Junto a cada dirección http aparece Mixed Content.
- WordPress: en Ajustes → Generales, ponga en https tanto la Dirección de WordPress como la Dirección del sitio.
- Sustituya en la base de datos las antiguas direcciones http de su propio dominio por https. Hágalo con un plugin de buscar y reemplazar, y haga antes una copia de seguridad.
- Revise los ajustes del tema, los widgets y el CSS propio en busca de direcciones escritas a mano.
- Vacíe después la caché de su sitio y la de su navegador; si no, seguirá viendo el código antiguo. Véase qué es la caché.
5. No hay redirección de http a https
Instalar un certificado no cambia nada en la dirección http: sigue funcionando, y quien siga un enlace o un marcador antiguo verá «no es seguro». Redirija por eso cada petición http a https con un 301. En la mayoría de los alojamientos se hace con una regla de reescritura en .htaccess; qué hace ese archivo lo explica qué se puede hacer con un archivo .htaccess. Pruebe después cuatro direcciones: http y https, cada una con y sin www. Las cuatro deben acabar en la misma dirección https, sin bucles.
Certificado gratuito o de pago
El cifrado es el mismo. Para un sitio corriente, el certificado gratuito basta de sobra. Uno de pago añade una verificación de su organización, no un cifrado más fuerte. Los niveles están en certificados SSL.
Preguntas frecuentes
¿Han hackeado mi sitio si pone «no seguro»?
No. El aviso habla de la conexión, no del contenido de su sitio. Un sitio hackeado también puede tener un certificado válido.
¿Por qué veo el aviso en el móvil y no en el ordenador?
Normalmente un dispositivo abre la dirección http desde un marcador antiguo y el otro la dirección https. Una fecha incorrecta en el dispositivo produce el mismo efecto.
¿Puedo ignorar la advertencia y continuar?
En su propio sitio, para buscar la causa, sí. No se lo pida nunca a sus visitantes: la mayoría se marcha.
¿No lo consigue?
Envíenos a través de contacto su nombre de dominio y el aviso o el código exacto del navegador. Comprobamos qué certificado presenta su sitio.
