Proteger tu WordPress con SSL en Plesk

¿Tu web WordPress va lenta? ¿Te aparece un aviso de "No seguro" en el navegador cuando entras a tu propio sitio? No te preocupes, no eres el único. Hoy vas a aprender, paso a paso y sin tecnicismos raros, cómo proteger tu WordPress con SSL en Plesk. Al final de esta guía, tu web tendrá ese candadito verde y tus visitantes te van a agradecer la confianza.

¿Por qué es tan importante el SSL para tu WordPress?

Piensa en el SSL (Secure Sockets Layer) como el sobre sellado de una carta. Sin él, cualquier información que viaja entre el navegador de tu visitante y tu servidor (contraseñas, correos, datos de tarjetas) va "al descubierto", como una postal que cualquiera puede leer en el camino. Con el SSL, esos datos van cifrados.

Esto no es solo una cuestión de seguridad. Google y otros buscadores penalizan las webs sin SSL. Si no lo tienes, tu posicionamiento en Google se resiente y los usuarios ven el temido "No seguro" en la barra de direcciones, lo que provoca que muchos se vayan antes de cargar tu página. En resumen: el SSL es el primer paso para tener una web profesional, fiable y con posibilidades de posicionarse bien.

Tu aliado secreto: Plesk y Let's Encrypt

Plesk es el panel de control de tu hosting. Es la "cabina de mando" desde la que gestionas todo. Y tiene una integración perfecta con Let's Encrypt, una autoridad de certificados gratuita, automática y muy fiable. Esto significa que no tendrás que pagar ni un céntimo por tener un certificado SSL que, en otros tiempos, costaba una pasta.

Vamos a ver cómo se hace, paso a paso, con un lenguaje claro y directo.

Requisitos previos: Antes de empezar

Antes de lanzarnos, asegúrate de tener lo siguiente:

1. Acceso a Plesk: Tienes que poder entrar en tu panel de control como administrador o con un usuario que tenga permisos para gestionar el dominio.
2. Dominio apuntando a tu servidor: Tu dominio (ej: tudominio.com) debe estar apuntando a los servidores de tu hosting. Si acabas de contratar el hosting, esto ya suele estar configurado.
3. Tu WordPress instalado: Lógico, ¿no? Si aún no lo tienes, instálalo desde el instalador de aplicaciones de Plesk (suele ser muy fácil).

Con esto listo, vamos al lío.

Paso 1: Emitir el certificado SSL con Let's Encrypt en Plesk

Este es el proceso mágico y gratuito. No te asustes, es más fácil de lo que parece.

1. Inicia sesión en Plesk: Entra en tu panel de control. La URL es algo como https://tudominio.com:8443 o la que te haya dado tu proveedor de hosting.
2. Ve a "Sitios web y dominios": En el menú lateral o en la pantalla principal, busca la sección que se llama "Sitios web y dominios" o "Websites & Domains".
3. Selecciona tu dominio: Haz clic en el nombre de tu dominio para que se abran las herramientas específicas para él.
4. Busca "Let's Encrypt": En la sección de seguridad o en el panel de herramientas del dominio, verás un icono o enlace que dice "Let's Encrypt". Haz clic ahí.
5. Configura el certificado:
   • En el campo "Direcciones de correo electrónico", introduce un correo válido (es para avisos de renovación).
   • En "Añadir nombres de dominio", asegúrate de que esté tu dominio principal (ej: tudominio.com) y también la versión con "www" (www.tudominio.com). Esto es crucial para que el certificado cubra ambas.
6. Haz clic en "Instalar": Plesk se pondrá a trabajar. En unos segundos o un par de minutos, verás un mensaje de éxito. ¡Ya tienes tu certificado SSL activo!

[INFO] El certificado que acabas de instalar se renueva automáticamente. No tienes que preocuparte de nada. Plesk y Let's Encrypt se encargan de todo.

Paso 2: Forzar HTTPS en tu WordPress desde Plesk

Ahora tienes el certificado, pero ¿qué pasa? Que si alguien escribe http://tudominio.com, la web sigue cargando sin cifrar. Tenemos que "forzar" que todo el tráfico vaya a la versión segura, la que usa HTTPS.

Plesk tiene una herramienta muy útil para esto, pero primero, vamos a hacer un ajuste en WordPress para que no haya errores.

2.1 Ajustar la URL del sitio en WordPress

1. Entra en el panel de administración de WordPress: Normalmente en tudominio.com/wp-admin.
2. Ve a Ajustes > Generales.
3. Verás dos campos: "Dirección de WordPress (URL)" y "Dirección del sitio (URL)".
4. Cámbialas ambas para que empiecen por https:// en lugar de http://. Por ejemplo: https://tudominio.com.
5. Guarda los cambios.

[WARNING] Si al guardar esto la web se rompe o no carga, no entres en pánico. A veces el cambio es muy brusco. Puedes deshacerlo entrando directamente a la base de datos desde Plesk (en "Bases de datos" -> "phpMyAdmin") y editando la tabla wp_options. Busca las filas siteurl y home y cámbialas de nuevo a http://.

2.2 Redirección 301 desde Plesk (La forma más limpia)

Ahora que tu WordPress ya "sabe" que debe usar HTTPS, vamos a decirle al servidor que cualquier visita a la versión http:// la redirija automáticamente a la https://. Esto se llama una redirección 301.

1. Vuelve a "Sitios web y dominios" y selecciona tu dominio.
2. Busca la opción "Redireccionamiento de host" o "Hosting & Redirect" (a veces está en "Apache y nginx" o en un icono de flechas).
3. Ahí verás una opción que dice algo como "Redirigir todo el tráfico HTTP a HTTPS" o "Forzar HTTPS". Activa esa casilla.
4. Guarda los cambios.

¡Listo! A partir de ahora, cualquier persona que escriba http://tudominio.com será enviada automáticamente a https://tudominio.com. Es una redirección limpia y perfecta para el SEO.

Paso 3: Solucionar el problema del "Contenido Mixto" en WordPress

Este es el paso más importante y el que más quebraderos de cabeza da. Seguramente, después de activar el SSL, tu web carga bien, pero en la consola del navegador (si eres curioso y la abres) te salen errores de "contenido mixto" o "Mixed Content".

¿Qué es esto? Es muy sencillo: tu página se sirve a través de HTTPS (seguro), pero dentro de ella hay imágenes, scripts o hojas de estilo que se cargan desde una URL con http:// (inseguro). El navegador, para protegerte, bloquea esas peticiones o te muestra el aviso de "No seguro" de nuevo.

La solución definitiva: Better Search Replace

Existe un plugin gratuito y maravilloso llamado Better Search Replace que hace exactamente lo que necesitamos: buscar todas las referencias a la URL antigua y cambiarlas por la nueva.

1. Instala el plugin: Ve a "Plugins" > "Añadir nuevo" en tu WordPress, busca "Better Search Replace" e instálalo y actívalo.
2. Ve a Herramientas > Better Search Replace.
3. En el campo "Buscar", escribe: http://tudominio.com
4. En el campo "Reemplazar por", escribe: https://tudominio.com
5. Selecciona todas las tablas de la base de datos (normalmente puedes seleccionar todas de una vez).
6. Desmarca la casilla "Dry Run" (ejecución en seco). Esta opción es para simular el cambio sin hacerlo. A nosotros nos interesa hacer el cambio real.
7. Haz clic en "Ejecutar".

[TIP] Antes de hacer el cambio, ve a "Herramientas" > "Exportar" y haz una copia de seguridad de tu base de datos. Así, si algo sale mal, puedes volver atrás sin problemas.

Después de ejecutar esto, tu base de datos ya no tendrá referencias a la versión insegura. Entra a tu web y comprueba que todo carga bien.

Configurar el plugin de caché (si lo usas)

Si usas un plugin de caché (como W3 Total Cache, WP Super Cache o WP Rocket), es muy importante que vacíes la caché después de hacer estos cambios. La caché guarda versiones antiguas de tus páginas y puede seguir mostrando el contenido mixto.

Ve al panel del plugin de caché y busca el botón de "Vaciar caché" o "Purge Cache". Hazlo y listo.

Paso 4: Verificar que todo está perfecto

Ya casi lo tenemos. Vamos a hacer una comprobación rápida para asegurarnos de que todo está en orden.

1. Entra a tu web: Escribe tu dominio en el navegador y pulsa Enter. Deberías ser redirigido a https://.
2. Mira el candado: En la barra de direcciones, al lado de tu URL, debería aparecer un candado cerrado. Haz clic en él. Debería decir "Conexión segura" y "El certificado es válido".
3. Comprueba el contenido: Navega por varias páginas de tu web, mira imágenes, formularios, etc. Todo debería cargar sin problemas.

Herramientas online para verificar

Hay herramientas online gratuitas que te dicen si tu SSL está bien configurado y sin errores de contenido mixto.

• SSL Labs (Qualys): Escribe tu dominio y te dará un informe detallado de la calidad de tu certificado. Busca una letra "A" o "A+". Eso es lo ideal.
• Why No Padlock?: Esta herramienta es genial para detectar el contenido mixto. Te muestra exactamente qué elementos de tu página se cargan desde http:// y te da pistas sobre cómo solucionarlo.

Preguntas Frecuentes (FAQ) sobre SSL en WordPress con Plesk

Aquí van las dudas más comunes que nos llegan al soporte:

¿Y si mi hosting no usa Plesk, sino Syspanel?

Si tu hosting te da acceso a Syspanel (antes conocido como HestiaCP), el proceso es muy similar, aunque el panel es diferente. Accede a Syspanel a través del puerto 2106 (ej: https://tudominio.com:2106). Dentro, busca el apartado de "Web" o "Dominios" y luego la sección de "SSL". Ahí podrás activar Let's Encrypt de forma muy parecida a como lo hemos hecho en Plesk. El resto de los pasos (cambiar URLs y forzar HTTPS) son idénticos.

¿Pierdo posicionamiento en Google si cambio de HTTP a HTTPS?

No. De hecho, Google lo ve con buenos ojos. Es una señal de confianza y seguridad. Solo asegúrate de hacer la redirección 301 como hemos explicado, para que Google entienda que el contenido se ha movido y no te penalice por contenido duplicado.

¿Puedo tener el SSL solo para el subdominio www o solo para el dominio sin www?

Lo ideal es tenerlo para ambos. Cuando configuras Let's Encrypt en Plesk, te recomendamos marcar tanto tudominio.com como www.tudominio.com. Así, no importa cómo escriba el visitante la dirección, siempre tendrá una conexión segura.

Mi web sigue mostrando "No seguro" después de todo esto. ¿Qué hago?

Respira. Suelen ser dos cosas:

1. La caché del navegador: Prueba a abrir tu web en una ventana de incógnito o borra la caché de tu navegador (Ctrl + Shift + Supr en Windows o Cmd + Shift + Supr en Mac).
2. Contenido mixto persistente: Usa la herramienta "Why No Padlock?" para localizar el elemento que falla. A veces, hay imágenes o scripts que están "hardcodeados" (escritos directamente) en el código de un tema o plugin con la URL http://. Si es así, tendrás que editar esos archivos o usar un plugin más avanzado como "Really Simple SSL" que lo arregla todo automáticamente de forma más agresiva.

[TIP] El plugin "Really Simple SSL" es un comodín. Si tienes problemas, instálalo y actívalo. Él se encarga de detectar y solucionar la mayoría de los problemas de contenido mixto y forzar HTTPS sin que tengas que tocar nada más.

Conclusión: Tu web ya es segura y fiable

Proteger tu WordPress con SSL en Plesk es un proceso que, una vez que lo has hecho una vez, te llevará menos de 10 minutos. Y los beneficios son inmensos: seguridad para tus visitantes, mejor posicionamiento web y una imagen mucho más profesional.

Recuerda los pasos clave:

1. Instala el certificado Let's Encrypt desde Plesk.
2. Cambia las URLs de WordPress a HTTPS.
3. Activa la redirección forzada a HTTPS en Plesk.
4. Limpia tu base de datos de contenido mixto con Better Search Replace.
5. Vacía la caché y verifica con herramientas online.

Con esto, tu WordPress estará blindado y listo para conquistar Google. Si en cualquier momento te atascas, tu proveedor de hosting (nosotros) estará encantado de echarte una mano. ¡Nos vemos en el siguiente tutorial!