Configurar SSL en WordPress: Guía para HTTPS seguro

¿Te ha pasado que al entrar a tu web ves el temido aviso de “No seguro” en el navegador? Eso es porque tu sitio aún no usa SSL/HTTPS. Configurar SSL WordPress no es un lujo, es una necesidad básica para cualquier web, ya sea una tienda online, un blog personal o el sitio de tu negocio. Sin el candadito, Google te penaliza en el ranking y, lo que es peor, tus visitantes desconfiarán de ti. Pero no te preocupes, porque hoy voy a explicarte, paso a paso y sin tecnicismos raros, cómo configurar SSL y hacer que tu WordPress funcione perfectamente con HTTPS. Al final de esta guía, tu web será más rápida, segura y confiable. ¡Vamos a ello!

¿Qué es exactamente SSL y por qué necesitas HTTPS WordPress?

Antes de meter las manos en el código, vamos a entender qué estamos haciendo. SSL (Secure Sockets Layer) es una tecnología que cifra la conexión entre el navegador del visitante y tu servidor. Imagina que envías una carta por correo; sin SSL, esa carta va en un sobre abierto y cualquiera puede leerla. Con SSL, la carta va en una caja blindada con un candado que solo tú y el destinatario pueden abrir.

Cuando instalas un certificado SSL, tu web pasa de usar el protocolo http:// a usar https://. La "s" significa "seguro". Esto tiene tres beneficios inmediatos:

Confianza del usuario: El candadito en la barra de direcciones genera confianza. La gente no compra ni deja sus datos en webs que marcan como "No seguro".
Mejora tu SEO: Google ha confirmado que HTTPS es una señal de ranking. Una web con HTTPS WordPress siempre tendrá ventaja sobre una sin cifrar.
Cumplimiento normativo: Si algún día quieres aceptar pagos con tarjeta o manejar datos personales (GDPR), necesitas SSL sí o sí.

La buena noticia es que la mayoría de los proveedores de hosting actuales ofrecen certificados SSL gratuitos (Let's Encrypt) o incluidos en el plan. El proceso de configurar SSL es mucho más fácil de lo que parece.

Paso 1: Instalar el certificado SSL en tu servidor

El primer paso es obtener el certificado e instalarlo en tu servidor. Aquí es donde tu panel de control juega un papel importante. Si tu hosting usa Syspanel (el antiguo HestiaCP), el acceso es a través del puerto 2106 (por ejemplo, https://tu-dominio.com:2106). No te asustes con el puerto, es solo la puerta de entrada a tu panel.

Opción A: Usar un certificado gratuito de Let's Encrypt

La mayoría de los paneles modernos tienen un botón mágico para esto.

Entra a tu panel de control (Syspanel) usando el puerto 2106.
Busca la sección de "Web" o "Dominios". Verás una lista de tus sitios web.
Busca tu dominio y haz clic en el icono de editar o en "SSL".
Dentro, verás una pestaña o botón que dice "Let's Encrypt". Actívalo.
Marca las casillas que ofrecen incluir los subdominios (www y sin www). Esto es importante para que el certificado cubra ambas versiones.
Haz clic en "Guardar" o "Emitir certificado".

El panel hará el trabajo sucio: verificará que el dominio es tuyo, emitirá el certificado y lo instalará automáticamente. En menos de un minuto, tendrás el SSL activo.

[TIP] Si tu hosting no tiene esta opción automática, contacta con tu proveedor y pregúntales si ofrecen Let's Encrypt. Es gratis y la mayoría debería ofrecerlo. Si no, tendrás que comprar uno, pero es menos común hoy en día.

Opción B: Instalar un certificado comprado manualmente

Si tienes un certificado de pago (por ejemplo, de Comodo o DigiCert), el proceso es un poco más manual.

En el mismo panel de SSL, busca la pestaña que dice "Instalar certificado" o "Certificado personalizado".
Te pedirán tres cosas: la clave privada (private key), el certificado (certificate) y el certificado intermedio (CA bundle).
Pega cada uno en su campo correspondiente. Si no sabes dónde conseguir el CA bundle, tu proveedor del certificado te lo dará en un archivo comprimido.
Guarda los cambios.

[WARNING] No compartas tu clave privada con nadie. Es la llave maestra de tu cifrado. Si alguien la obtiene, podría descifrar el tráfico de tu web.

Paso 2: Configurar WordPress para usar HTTPS

Ahora que el servidor tiene el certificado, toca decirle a WordPress que use HTTPS. WordPress tiene una opción en su base de datos que define la URL del sitio. Hay que cambiarla para que apunte a https://.

Cambiar la URL en el Panel de Administración

Este es el método más fácil para principiantes:

Ve a Ajustes > Generales en tu escritorio de WordPress.
Verás dos campos: "Dirección de WordPress (URL)" y "Dirección del sitio (URL)".
Cambia ambos de http:// a https://. Asegúrate de que no haya una "s" de más en el lugar equivocado. Deberían quedar así: https://tudominio.com.
Guarda los cambios.

Al hacer esto, WordPress automáticamente redirigirá todas las URLs internas al nuevo protocolo. Sin embargo, es posible que al guardar te cierre la sesión o la web se vea rara por un momento. No te preocupes, es normal. A veces, si el certificado no está bien instalado, la web se cae. Si eso pasa, vuelve a poner http:// y revisa el paso 1.

Método alternativo: Editar wp-config.php

Si no puedes acceder al panel (por ejemplo, si te has bloqueado), puedes hacerlo manualmente. Conecta a tu servidor por FTP o usa el administrador de archivos de tu panel y abre el archivo wp-config.php. Añade estas dos líneas justo antes de la línea que dice /* That's all, stop editing! */:

define('WP_HOME', 'https://tudominio.com');
define('WP_SITEURL', 'https://tudominio.com');

Guarda el archivo y sube de nuevo. Esto fuerza a WordPress a usar HTTPS sin depender de la base de datos.

Paso 3: La redirección HTTPS definitiva (301)

Ahora viene la parte crítica: redirección HTTPS. Necesitas que todo el mundo que entre a http://tudominio.com sea enviado automáticamente a https://tudominio.com. Además, quieres que los motores de búsqueda entiendan que la versión correcta es la HTTPS, para no tener contenido duplicado. La forma estándar es usar un código en el archivo .htaccess.

Editar el archivo .htaccess

Este archivo es el que controla el comportamiento del servidor Apache. Ten mucho cuidado al editarlo, un error puede tumbar tu web.

Ve a la raíz de tu instalación de WordPress (donde están las carpetas wp-admin, wp-content, etc.).
Busca el archivo .htaccess. Si no lo ves, activa la opción de "Mostrar archivos ocultos" en tu gestor de archivos o FTP.
Descarga una copia de seguridad por si acaso.
Abre el archivo y busca la línea que dice # BEGIN WordPress. Añade el siguiente código ANTES de esa línea:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

Este código hace lo siguiente: si la conexión no es HTTPS (%{HTTPS} off), redirige a la misma URL pero con HTTPS, usando una redirección 301 (movida permanentemente). Esto es perfecto para SEO porque le dice a Google que la versión canónica es la HTTPS.

Guarda el archivo y prueba. Entra a http://tudominio.com y verás que te salta automáticamente a https://tudominio.com.

[TIP] Si tu hosting usa Nginx en lugar de Apache, no podrás usar .htaccess. En ese caso, la redirección se configura en el archivo de configuración del servidor virtual. Si no sabes qué motor usa tu servidor, pregunta a tu proveedor o mira en Syspanel; normalmente te dice si es Apache o Nginx.

Paso 4: Arreglar el contenido mixto (Mixed Content)

Este es el paso que más dolores de cabeza causa. Imagina que tu web ya tiene HTTPS, pero dentro de las páginas hay imágenes, scripts o hojas de estilo que se cargan desde http://. El navegador bloqueará esos recursos y tu web se verá rota o con iconos de error. Esto se llama contenido mixto.

La solución es sencilla: buscar y reemplazar todas las URLs http:// por https:// en tu base de datos. No lo hagas a mano, es un error. Usa un plugin o un script de base de datos.

Usar un plugin (recomendado para principiantes)

Instala y activa el plugin "Really Simple SSL". Este plugin hace magia:

Ve a Plugins > Añadir nuevo.
Busca "Really Simple SSL".
Instala y activa.
Al activarlo, el plugin detectará que ya tienes el certificado y te preguntará si quieres activar la redirección. Acepta.
El plugin automáticamente arreglará el contenido mixto en tus páginas y te dará opciones para forzar HTTPS en todo.

Es la herramienta más fácil para los que no quieren tocar código.

Método manual con SQL (para más control)

Si prefieres hacerlo a mano y sabes usar phpMyAdmin, puedes ejecutar una consulta SQL. Pero ojo, haz una copia de seguridad de tu base de datos antes.

Entra a phpMyAdmin desde tu panel (Syspanel).
Selecciona tu base de datos de WordPress.
Ve a la pestaña "SQL".
Ejecuta esta consulta (cambia tudominio.com por tu dominio real):

UPDATE wp_options SET option_value = REPLACE(option_value, 'http://tudominio.com', 'https://tudominio.com') WHERE option_name IN ('siteurl', 'home');

UPDATE wp_posts SET post_content = REPLACE(post_content, 'http://tudominio.com', 'https://tudominio.com');

UPDATE wp_postmeta SET meta_value = REPLACE(meta_value, 'http://tudominio.com', 'https://tudominio.com');

UPDATE wp_comments SET comment_author_url = REPLACE(comment_author_url, 'http://tudominio.com', 'https://tudominio.com');

Esto reemplaza todas las URLs de tu contenido. Si tu tabla de WordPress usa un prefijo diferente (por ejemplo, wp_), cámbialo en la consulta.

Paso 5: Actualizar el SEO y los servicios externos

Ahora que tu web funciona con HTTPS, hay que avisar al mundo. No es suficiente con cambiar la URL; tienes que actualizar tus herramientas de marketing.

Google Search Console

Añade la versión HTTPS de tu sitio como una nueva propiedad.
Solicita la indexación de la nueva URL.
Cuando Google rastree, verá las redirecciones 301 y transferirá la autoridad de la antigua a la nueva.

Google Analytics

Ve a la configuración de tu propiedad y asegúrate de que la URL por defecto sea la HTTPS. Si usas el plugin de Google Site Kit, actualiza los ajustes.

Actualizar enlaces internos y externos

Revisa tus publicaciones antiguas. Si tienes enlaces internos a otras páginas de tu web, asegúrate de que usen HTTPS. El plugin que instalamos antes (Really Simple SSL) se encarga de esto automáticamente, pero es bueno revisar.

Preguntas frecuentes (FAQ) sobre SSL WordPress

¿Qué hago si mi web se rompe después de activar SSL?
Lo más común es el contenido mixto. Sigue el paso 4 y usa el plugin. Si la web se cae por completo, vuelve a cambiar las URLs a http:// en los ajustes y revisa que el certificado esté bien instalado en el servidor.

¿Necesito un certificado SSL para cada dominio o subdominio?
Sí, cada dominio y subdominio necesita su propio certificado. Sin embargo, los certificados wildcard (comodín) cubren todos los subdominios de un dominio principal. Let's Encrypt los ofrece gratis en la mayoría de los paneles.

¿Puedo tener SSL y no redirigir a HTTPS?
Puedes, pero es una mala práctica. Si tienes el certificado instalado, lo lógico es usarlo. Si no rediriges, tendrás dos versiones de tu web y problemas de SEO por contenido duplicado.

Mi hosting no me deja instalar SSL. ¿Qué hago?
Si tu proveedor no te da opción de SSL, es una señal de alerta. Considera cambiar a un hosting que lo ofrezca gratis. Hoy en día, cualquier hosting decente lo incluye.

¿Cuánto tarda en propagarse el cambio de HTTP a HTTPS?
La redirección es instantánea en tu servidor. Sin embargo, los motores de búsqueda pueden tardar días o semanas en reindexar todas tus URLs. Ten paciencia y verifica en Google Search Console que todo esté correcto.

[INFO] Asegúrate de que la fecha y hora de tu servidor estén correctas. Los certificados SSL dependen de la sincronización del reloj para validarse. Si tu servidor tiene la hora mal, el certificado puede dar error aunque esté bien instalado.

Conclusión: Tu web ya es segura

Has llegado hasta el final. Configurar SSL WordPress no es tan complicado como parece, y los beneficios son enormes. Has instalado el certificado, has cambiado las URLs, has puesto la redirección HTTPS 301 y has arreglado el contenido mixto. Tu web ahora es rápida, segura y amigable con el SEO.

Recuerda que este proceso es solo el principio. Mantén tu WordPress actualizado, usa contraseñas fuertes y haz copias de seguridad periódicas. La seguridad es un viaje, no un destino.

Si te ha quedado alguna duda, repasa los pasos o deja un comentario. Y si usas Syspanel, recuerda que el acceso es por el puerto 2106. Ahora, ve a tu navegador, escribe tu dominio y verás el candadito verde. ¡Ese es el símbolo de que has hecho un gran trabajo!