Arreglar 'No Seguro' en WordPress: Activar SSL y HTTPS (Guía 2024)

¡Hola! ¿Te ha aparecido el temido aviso de "Sitio no seguro" en tu navegador cuando intentas entrar a tu WordPress? No te preocupes, no has roto nada y no eres el único al que le pasa. Este es uno de los sustos más comunes para cualquier persona que administra una web, especialmente si acabas de montarla o has cambiado de servidor.

La buena noticia es que, en el 99% de los casos, tiene una solución rápida, gratuita y que no requiere ser un experto en informática. El mensaje de "no seguro" simplemente significa que tu sitio no tiene activado el protocolo SSL (el candadito que ves en la barra de direcciones) o que lo tiene mal configurado.

En esta guía extensa y paso a paso, vamos a desgranar cómo solucionar el error de sitio no seguro en WordPress, desde los conceptos más básicos hasta cómo activar el certificado en los paneles de control más populares como cPanel, Plesk y DirectAdmin. Vamos a ello.

¿Por qué aparece el error "Sitio no seguro"?

Antes de lanzarnos a arreglar nada, es crucial entender de dónde viene el problema. Cuando visitas una web, tu navegador (Chrome, Firefox, Safari, etc.) comprueba si la conexión con el servidor está cifrada.

Si la conexión usa el protocolo HTTP (sin la "s"), significa que los datos viajan "en claro" y cualquiera podría interceptarlos. Si usa HTTPS (con la "s"), los datos viajan cifrados y seguros.

El error aparece por estas razones principales:

No tienes instalado un certificado SSL: Tu servidor no tiene el certificado que permite el cifrado.
El certificado está caducado: Los certificados SSL tienen una fecha de caducidad. Si se te ha pasado renovarlo, aparece el aviso.
Estás usando una URL mixta (contenido mixto): Tienes el SSL activo, pero algunos elementos de tu web (imágenes, scripts, hojas de estilo) se cargan desde URLs que empiezan por http:// en lugar de https://. Esto genera un conflicto y el navegador te avisa de que la página no es totalmente segura.
La configuración de WordPress no está actualizada: Aunque tengas el certificado, si en los ajustes generales de WordPress has puesto la URL con http://, el sistema seguirá intentando cargar todo con ese protocolo.

Vamos a solucionar todos estos escenarios, uno por uno, de la forma más sencilla posible.

Paso 1: Activar el SSL en WordPress (Lo primero que debes hacer)

A veces, el certificado ya está instalado en tu servidor, pero WordPress no lo está usando. Es como tener la llave de casa pero intentar entrar por la ventana. Para solucionar el error de sitio no seguro, debemos decirle a WordPress que use el protocolo HTTPS en todas sus URLs.

### Cambiar la URL en Ajustes Generales

Este es el primer paso y el más básico. Ve a tu escritorio de WordPress y sigue estas instrucciones:

En el menú lateral izquierdo, busca Ajustes y haz clic en Generales.
Verás dos campos: Dirección de WordPress (URL) y Dirección del sitio (URL).
Muy importante: En ambos campos, cambia http:// por https://. Deben quedar así: https://tudominio.com.
Haz clic en Guardar cambios.

[WARNING] Si al guardar esto la web se rompe o te da un error de "demasiadas redirecciones", no entres en pánico. Vuelve a acceder a tu panel de administración usando la URL con https:// directamente (ej: https://tudominio.com/wp-admin). Si no puedes acceder, tendrás que editarlo desde el archivo wp-config.php o desde la base de datos, pero eso es un caso extremo. Generalmente funciona.

### Forzar la redirección de HTTP a HTTPS

WordPress no siempre redirige automáticamente a los visitantes que entran por http://. Para asegurarnos de que todo el mundo use la versión segura, añadiremos una línea mágica al archivo .htaccess (si usas Apache) o al archivo de configuración de Nginx.

Si tu hosting usa Apache (lo más común), añade esto al .htaccess:

Accede a tu hosting por FTP o al Administrador de Archivos de cPanel, busca el archivo .htaccess en la raíz de tu WordPress y añade estas líneas al principio:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

Si tu hosting usa Nginx, deberás añadir una regla de redirección en el bloque del servidor. No te asustes, es solo una línea:

return 301 https://$host$request_uri;

Si no sabes qué tipo de servidor usas, pregunta a tu proveedor de hosting. Es un dato que te dirán en segundos.

Paso 2: Instalar el Certificado SSL (Let's Encrypt en cPanel)

Si después de cambiar la URL en WordPress el error persiste, es que probablemente no tienes el certificado instalado. La mejor opción para la mayoría de los sitios es Let's Encrypt, un certificado gratuito, automático y confiable.

### Activar SSL en cPanel paso a paso

cPanel es el panel de control más usado en el mundo. Si tu hosting lo usa, la instalación es de lo más sencilla:

Accede a tu cPanel (normalmente en tudominio.com/cpanel o tudominio.com:2083).
Busca la sección Seguridad o Security.
Haz clic en Let's Encrypt (o SSL/TLS Status dependiendo de la versión, pero la opción de Let's Encrypt es la más directa).
Si usas la opción Let's Encrypt, verás una lista de tus dominios. Haz clic en Issue o Emitir al lado de tu dominio principal.
El sistema tardará unos segundos en generar e instalar el certificado automáticamente. ¡Así de fácil!

[TIP] Después de instalarlo, vuelve a la sección SSL/TLS Status y haz clic en Run AutoSSL o Run para asegurarte de que todo el dominio y sus subdominios están cubiertos.

### Activar SSL en Plesk

Plesk es otro panel muy popular, sobre todo en servidores VPS y dedicados. La interfaz es más moderna y el proceso es igual de simple:

Accede a tu Plesk (normalmente en tudominio.com:8443).
En el menú de la izquierda, selecciona tu dominio.
En el submenú del dominio, busca Hosting y DNS y haz clic en Certificados SSL/TLS.
Haz clic en Añadir Certificado SSL y elige la opción Let's Encrypt.
Marca la casilla para correo electrónico (para renovaciones) y haz clic en Añadir.
Plesk instalará el certificado automáticamente y te preguntará si quieres activarlo para el dominio. ¡Confirma y listo!

### Arreglar SSL en DirectAdmin

DirectAdmin es menos común pero muy robusto. Aunque su interfaz es más técnica, la opción de Let's Encrypt también está integrada:

Accede a tu DirectAdmin (normalmente en tudominio.com:2222).
Ve a tu nombre de usuario (arriba a la derecha) y haz clic en Domain Setup o Configuración de Dominio.
En la lista de dominios, haz clic en el icono de editar (lápiz) al lado de tu dominio.
Busca la sección de SSL y activa la casilla que dice Enable SSL.
Después, busca la opción de Let's Encrypt y haz clic en Issue o Emitir. DirectAdmin se encargará del resto.

Paso 3: Solucionar el "Contenido Mixto" (El error más frustrante)

Ya tienes el SSL activo, la URL cambiada y el certificado instalado. Pero el navegador sigue diciendo que el sitio no es seguro. ¿Qué está pasando? El contenido mixto.

Esto ocurre cuando tu web (que ahora se carga por https://) intenta cargar recursos (imágenes, vídeos, CSS, JavaScript) desde URLs que empiezan por http://. El navegador bloquea estas peticiones "inseguras" y te muestra el error.

¿Cómo lo arreglamos? Necesitamos una herramienta para "reescribir" todas las URLs de la base de datos. La forma más fácil es usar un plugin. Te recomiendo Really Simple SSL.

### Usando Really Simple SSL (El plugin milagro)

Este plugin es el favorito de millones de usuarios porque hace el trabajo sucio por ti:

Ve a Plugins > Añadir nuevo en tu WordPress.
Busca Really Simple SSL.
Instálalo y actívalo.
Nada más activarlo, el plugin detectará que tienes SSL y te mostrará un aviso. Haz clic en Activar SSL.
El plugin configurará la redirección automáticamente y, en su versión gratuita, ya arregla la mayoría de los problemas de contenido mixto.

[INFO] Realmente Simple SSL no instala el certificado, solo arregla la configuración de WordPress y la base de datos. Por eso es el complemento perfecto después de instalar Let's Encrypt.

### Solución manual para contenido mixto (Sin plugins)

Si no quieres usar un plugin, puedes hacer una consulta SQL en phpMyAdmin. Esto es un poco más técnico, pero es una solución definitiva.

Accede a phpMyAdmin desde cPanel, Plesk o DirectAdmin.
Selecciona tu base de datos de WordPress.
Haz clic en la pestaña SQL.
Pega esta consulta (reemplaza tudominio.com por tu dominio real):

UPDATE wp_options SET option_value = replace(option_value, 'http://tudominio.com', 'https://tudominio.com') WHERE option_name = 'home' OR option_name = 'siteurl';
UPDATE wp_posts SET guid = replace(guid, 'http://tudominio.com','https://tudominio.com');
UPDATE wp_posts SET post_content = replace(post_content, 'http://tudominio.com', 'https://tudominio.com');
UPDATE wp_postmeta SET meta_value = replace(meta_value, 'http://tudominio.com', 'https://tudominio.com');

[WARNING] Haz una copia de seguridad de tu base de datos antes de ejecutar esto. Es una operación segura, pero mejor prevenir que curar.

Paso 4: Verificar que todo está correcto

Después de todos estos pasos, es hora de comprobar que el error ha desaparecido.

Abre tu web en una ventana de incógnito (Ctrl+Shift+N en Chrome). Esto evita que se cargue la caché del navegador.
Deberías ver el candado en la barra de direcciones.
Haz clic en el candado y luego en La conexión es segura para ver los detalles.

Si aún ves algún problema, prueba a limpiar la caché de tu navegador y la caché de tu plugin de caché (si usas uno como WP Rocket o W3 Total Cache).

Preguntas Frecuentes (FAQ) sobre el error SSL en WordPress

¿Por qué mi sitio sigue diciendo "No seguro" si ya activé SSL?
Casi siempre es por el contenido mixto. Revisa el paso 3 y usa un plugin como Really Simple SSL o la consulta SQL para reescribir todas las URLs.

¿Cuánto cuesta un certificado SSL?
Nada. Let's Encrypt es 100% gratuito y es el estándar de la industria. Los certificados de pago ofrecen más garantías o validación de empresa, pero para un blog o tienda normal, Let's Encrypt es más que suficiente.

¿Cada cuánto se renueva el certificado SSL?
Let's Encrypt renueva automáticamente cada 90 días. Los paneles de control como cPanel o Plesk suelen configurar la renovación automática. Solo asegúrate de que el servicio de renovación (cron) esté activo en tu hosting.

¿Qué pasa si mi hosting no tiene Let's Encrypt en cPanel?
Si tu proveedor no lo ofrece (es muy raro hoy en día), puedes generarlo manualmente con la herramienta de SSL/TLS del propio cPanel, pero es más complejo. Te recomiendo contactar con tu proveedor y pedirles que lo activen.

Estoy usando Syspanel (HestiaCP) para mi servidor. ¿Cómo activo SSL ahí?
¡Buena pregunta! Syspanel es el panel que hemos renombrado para esta guía (antes conocido como HestiaCP). Para activar SSL, accede a tu panel a través del puerto 2106 (ej: tudominio.com:2106). Una vez dentro, ve a tu dominio en el menú de la izquierda, haz clic en Editar (el icono del lápiz) y en la pestaña de SSL podrás instalar el certificado de Let's Encrypt con un solo clic. Es muy intuitivo.

¿El error "No seguro" afecta a mi posicionamiento SEO?
Sí. Google utiliza HTTPS como una señal de clasificación. Un sitio con el error de seguridad puede ver reducido su tráfico orgánico. Además, los usuarios desconfiarán y abandonarán la página, aumentando la tasa de rebote, lo que también perjudica al SEO.

Con estos pasos, deberías haber solucionado el error de sitio no seguro en tu WordPress. Recuerda que la paciencia es clave. Ve paso a paso y no te saltes ninguno. Si después de todo sigue fallando, el problema puede estar en el servidor (un firewall o una configuración de red), y ahí ya tocaría hablar con el soporte técnico de tu hosting.

¡Espero que tu web vuelva a estar segura y operativa!