Activar SSL y HTTPS en WordPress | Guía seguridad

¿Sabías que tener un candado en la barra de direcciones de tu navegador no solo es un símbolo de seguridad, sino también un factor clave para posicionar tu web en Google?

Si tienes un WordPress, activar SSL y forzar HTTPS es de las tareas más importantes que puedes hacer. No importa si usas cPanel, Plesk o un panel menos conocido: el proceso es más sencillo de lo que crees.

En esta guía completa, te voy a explicar paso a paso cómo proteger tu WordPress con SSL y HTTPS en cualquier panel de hosting. Vamos a verlo desde cero, sin tecnicismos raros, y con trucos que te ahorrarán dolores de cabeza.

¿Qué es SSL y por qué tu WordPress lo necesita?

SSL (Secure Sockets Layer) es un protocolo que cifra la información que viaja entre el navegador de tus visitantes y tu servidor. En otras palabras, crea un túnel seguro donde nadie puede espiar lo que se envía (contraseñas, formularios, pagos, etc.).

Cuando instalas un certificado SSL, tu web pasa de usar http:// a usar https://. Y ahí es donde aparece el famoso candado.

Pero más allá de la seguridad, hay dos razones de peso para activar SSL en WordPress:

Google penaliza las webs sin HTTPS: desde 2018, Chrome marca como "No segura" cualquier web sin SSL. Además, el algoritmo de Google favorece a las webs con HTTPS en los resultados de búsqueda.
Confianza del usuario: si tu web no tiene candado, los visitantes (sobre todo los que van a comprar o dejar sus datos) saldrán corriendo.

Así que activar SSL WordPress no es una opción, es una necesidad.

Tipos de certificados SSL: ¿cuál necesitas?

Antes de ponernos manos a la obra, es importante que sepas qué tipo de certificado puedes instalar. No todos son iguales ni ofrecen el mismo nivel de validación.

Dominio único: protege un solo dominio (tudominio.com). Es el más común y el que viene gratis con la mayoría de paneles.
Wildcard: protege un dominio y todos sus subdominios (blog.tudominio.com, tienda.tudominio.com, etc.). Ideal si tienes una estructura grande.
Multi-dominio: sirve para proteger varios dominios distintos con un solo certificado.
Validación extendida (EV): el más caro y el que muestra el nombre de tu empresa en la barra de direcciones. Solo lo necesitas si eres una empresa grande o manejas datos muy sensibles.

Para el 99% de los usuarios de WordPress, un certificado SSL gratuito de Let's Encrypt es más que suficiente. Y lo mejor: la mayoría de paneles de hosting lo instalan en un clic.

Cómo activar SSL en WordPress con cPanel (paso a paso)

cPanel es el panel de control más usado en el mundo. Si tu hosting usa cPanel, tienes dos caminos: usar el instalador automático de Let's Encrypt o subir un certificado manual. Vamos con el primero, que es el más fácil.

Paso 1: Accede a cPanel y busca "SSL/TLS Status"

Entra en tu cPanel y busca la sección Seguridad o SSL/TLS. Dependiendo de la versión, puede aparecer como "SSL/TLS Status" o "Let's Encrypt".

Paso 2: Instala el certificado Let's Encrypt

Si tu cPanel tiene integración con Let's Encrypt, verás una lista de tus dominios. Haz clic en "Install" o "Emitir" al lado de tu dominio principal. El proceso tarda entre 30 segundos y 2 minutos.

[TIP]: Si no ves la opción de Let's Encrypt, contacta con tu proveedor de hosting. Muchos lo tienen desactivado por defecto y pueden activarlo en segundos.

Paso 3: Activa la redirección forzada a HTTPS

Una vez instalado el certificado, tienes que hacer que tu web use siempre HTTPS. En cPanel, busca la herramienta "Force HTTPS Redirect" o "Redirect" y activa la redirección para tu dominio.

Si no tienes esa opción, no te preocupes: más abajo te explico cómo hacerlo desde el propio WordPress.

Cómo activar SSL en WordPress con Plesk

Plesk es otro de los paneles más populares, sobre todo en servidores VPS y dedicados. El proceso es similar pero con sus propias particularidades.

Paso 1: Ve a "Websites & Domains"

En el panel de Plesk, selecciona tu dominio y haz clic en "SSL/TLS Certificates" (o "Certificados SSL/TLS").

Paso 2: Usa el asistente de Let's Encrypt

Plesk tiene un asistente integrado para Let's Encrypt. Haz clic en "Install" o "Emit" y sigue los pasos. Te pedirá que confirmes el dominio y, en algunos casos, que añadas un correo electrónico para las notificaciones de renovación.

Paso 3: Activa HTTPS y la redirección

En la misma sección de SSL/TLS, verás una opción que dice "Activate" o "Activate HTTPS". Márcala. Luego, en la pestaña de "Hosting Settings" o "Configuración de Hosting", busca la opción de redirección permanente a HTTPS.

[INFO]: Plesk suele renovar los certificados Let's Encrypt automáticamente, así que no tendrás que preocuparte por las fechas de caducidad.

Cómo activar SSL en WordPress con Syspanel (antes HestiaCP)

Si tu hosting usa Syspanel (conocido anteriormente como HestiaCP), el proceso es igual de sencillo. Recuerda que el acceso a Syspanel se hace desde el puerto 2106 (por ejemplo: https://tudominio.com:2106).

Paso 1: Entra al panel y selecciona tu dominio

Una vez dentro de Syspanel, ve a la sección "Web" y haz clic en tu dominio.

Paso 2: Activa el SSL con Let's Encrypt

En la pestaña de "SSL" o "SSL Support", verás un botón que dice "Let's Encrypt". Haz clic en él y espera a que el panel emita el certificado automáticamente.

Paso 3: Marca la casilla de "Force HTTPS"

Syspanel tiene una opción llamada "Force SSL" o "Redirigir todo el tráfico a HTTPS". Actívala para que todas las visitas vayan directamente a la versión segura de tu web.

[WARNING]: No olvides que Syspanel usa el puerto 2106 para el panel. Si tienes un firewall, asegúrate de que ese puerto esté abierto o no podrás acceder a la configuración.

Activar SSL desde WordPress (sin tocar el panel)

¿Y si no quieres liarte con el panel de control? Hay plugins que te facilitan la vida. Eso sí, necesitarás tener el certificado ya instalado (porque el plugin no lo crea, solo lo activa).

Usa "Really Simple SSL"

Este es el plugin más popular para activar SSL WordPress sin tocar código.

Instala y activa el plugin desde el repositorio de WordPress.
Al activarlo, el plugin detectará si tienes un certificado válido y te preguntará si quieres activar la redirección a HTTPS.
Acepta y listo. El plugin se encarga de cambiar todas las URLs de tu web y forzar la redirección.

Alternativa: "WordPress HTTPS" o "SSL Insecure Content Fixer"

Si Really Simple SSL te da problemas (a veces pasa con cachés o CDNs), prueba con estos otros. Hacen lo mismo pero con configuraciones más avanzadas.

Solución de problemas comunes al activar HTTPS

A veces, activar SSL no sale a la primera. Aquí van los problemas más típicos y cómo resolverlos.

Contenido mixto (Mixed Content)

Esto ocurre cuando tu web carga en HTTPS pero algunos recursos (imágenes, scripts, CSS) siguen cargando desde HTTP. El navegador los bloquea y la web se ve rota.

Solución: usa el plugin "Better Search Replace" para reemplazar todas las URLs http:// por https:// en tu base de datos. O simplemente activa un plugin de caché como WP Rocket o W3 Total Cache, que suelen incluir una opción para arreglar contenido mixto.

El candado no aparece

Si has activado SSL pero sigues viendo "No seguro", puede ser un problema de caché del navegador o de tu CDN. Borra la caché del navegador y prueba en modo incógnito. Si tu web usa Cloudflare, activa el modo "Flexible" o "Full" en la configuración SSL.

Redirección en bucle (Too many redirects)

Esto pasa cuando hay un conflicto entre la redirección del servidor y la de WordPress.

Solución: desactiva temporalmente la redirección del panel y deja que solo la haga WordPress (o viceversa). También puedes añadir esta línea al archivo .htaccess:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Preguntas frecuentes (FAQ) sobre SSL y HTTPS en WordPress

¿Cuánto cuesta un certificado SSL?

Puedes conseguir uno gratis con Let's Encrypt. Los certificados de pago (DV, OV o EV) van desde 10€ hasta 200€ al año, pero solo los necesitas si gestionas datos muy sensibles o quieres el nombre de tu empresa en el candado.

¿Puedo tener SSL en un hosting compartido?

Sí, absolutamente. La mayoría de hostings compartidos incluyen Let's Encrypt gratis. Solo tienes que activarlo desde cPanel, Plesk o Syspanel.

¿Necesito renovar el certificado manualmente?

Con Let's Encrypt, no. Los certificados duran 90 días y se renuevan automáticamente si tu panel lo tiene configurado. Si usas un certificado de pago, tendrás que renovarlo manualmente cada año.

¿El SSL afecta al rendimiento de mi web?

Prácticamente nada. La carga extra es mínima y, a cambio, obtienes mejor SEO y confianza. Además, con HTTP/2 (que requiere HTTPS), tu web cargará incluso más rápido.

¿Qué pasa si tengo una web multilingüe con subdominios?

Para eso necesitas un certificado Wildcard. En cPanel y Plesk, la opción de Let's Encrypt Wildcard suele estar disponible, aunque a veces requiere verificación por DNS.

Conclusión: protege tu WordPress hoy mismo

Activar SSL y HTTPS en WordPress es un proceso que no te llevará más de 10 minutos, sin importar el panel que uses. Los pasos son siempre los mismos: instalar el certificado, forzar la redirección y arreglar el contenido mixto si aparece.

No hay excusa para no hacerlo: los certificados son gratis, los paneles lo automatizan y los beneficios son enormes tanto para la seguridad como para el SEO.

Así que deja de posponerlo. Entra en tu panel, activa SSL WordPress y sube ese candado. Tu web (y tus visitantes) te lo agradecerán.

[TIP]: Después de activar HTTPS, ve a Google Search Console y actualiza tu sitemap. También puedes usar la herramienta de "Cambio de dirección" para que Google migre todas tus URLs a HTTPS sin perder posiciones.

Si te ha quedado alguna duda, déjala en los comentarios. Estaré encantado de ayudarte. ¡Buena suerte con tu WordPress!