Cómo proteger un sitio WordPress con SSL en DirectAdmin

¡Hola! Soy tu técnico de soporte amigable, y hoy vamos a aprender paso a paso cómo proteger tu sitio WordPress con SSL usando DirectAdmin. No te preocupes si no eres un experto, te guiaré como si estuviéramos viendo la pantalla juntos. Vamos a ello.

¿Por qué es importante el SSL para tu WordPress?

Antes de ponernos manos a la obra, entendamos por qué esto es tan importante. SSL (Secure Sockets Layer) es un protocolo que cifra la conexión entre el navegador de tus visitantes y tu servidor. Esto significa que cualquier dato que se transmita (contraseñas, formularios, pagos) viaja protegido.

Para tu WordPress, esto es vital porque:

• Seguridad: Protege a tus usuarios y a ti mismo de posibles ataques de intermediarios.
• Confianza: Tus visitantes verán el candado verde en la barra de direcciones, lo que genera credibilidad.
• SEO: Google favorece los sitios con HTTPS, dándoles una pequeña ventaja en los resultados de búsqueda.
• Requisito: Cada vez más plugins y funcionalidades (como pagos, formularios o APIs) exigen tener SSL activo.

En resumen, si no tienes SSL, tu sitio está desnudo en internet. Vamos a ponerle el chaleco antibalas.

Escenario: Tu sitio en DirectAdmin con Let's Encrypt

Vamos a suponer que tienes tu WordPress instalado en un servidor con DirectAdmin. Usaremos Let's Encrypt, una autoridad de certificación gratuita y confiable, para obtener y configurar el certificado SSL. Es la forma más sencilla y recomendada para la mayoría de los sitios.

[INFO] Let's Encrypt emite certificados válidos por 90 días. DirectAdmin puede renovarlos automáticamente, así que no te preocupes por la caducidad.

Requisitos previos

Antes de empezar, asegúrate de tener:

1. Acceso a DirectAdmin: Tus credenciales de administrador del panel de control.
2. Un dominio apuntando a tu servidor: Tu dominio (ej: tudominio.com) debe tener los registros DNS (A, CNAME, etc.) correctamente configurados para que apunten a la IP de tu servidor.
3. WordPress instalado: Tu sitio debe estar funcionando, aunque sea en HTTP.

Paso 1: Acceder a DirectAdmin y localizar el dominio

1. Abre tu navegador y ve a la URL de tu panel DirectAdmin (normalmente algo como https://tu-ip:2222 o https://tudominio.com:2222).
2. Inicia sesión con tu usuario y contraseña.
3. Una vez dentro, busca la sección de "Gestión de Cuentas" o "Resumen de Cuentas". Verás una lista de tus dominios.
4. Haz clic en el dominio de tu WordPress (por ejemplo, tudominio.com).

Paso 2: Configurar el SSL con Let's Encrypt

Aquí viene la magia. DirectAdmin tiene una herramienta integrada para Let's Encrypt.

1. Dentro de la página de tu dominio, busca la sección "SSL Certificates" o "Certificados SSL". Normalmente está en el menú lateral o en un botón de acceso rápido.
2. Haz clic en "Let's Encrypt" o "Free SSL (Let's Encrypt)".
3. Se abrirá una ventana con opciones. Verás algo como esto:
   • Domain: Tu dominio principal (ej: tudominio.com).
   • Wildcard: Si quieres proteger también todos los subdominios (ej: *.tudominio.com). Para un WordPress básico, no suele ser necesario, pero puedes marcarlo si tienes subdominios.
   • Mail SSL: Si quieres proteger el correo (recomendado).
   • Force HTTPS: Marca esta casilla. Es fundamental para que todas las visitas se redirijan automáticamente a HTTPS.
4. Haz clic en "Save" o "Request Certificate".

[TIP] Si ves un error, espera unos segundos y vuelve a intentarlo. A veces los servidores DNS tardan en propagarse. Si el error persiste, verifica que tu dominio apunte correctamente a la IP del servidor.

DirectAdmin se comunicará con Let's Encrypt, verificará que eres el dueño del dominio (generalmente mediante un archivo temporal en tu servidor) y emitirá el certificado. El proceso suele tardar menos de un minuto.

Paso 3: Verificar que el SSL está activo

Una vez que el proceso termine, verás un mensaje de éxito. Ahora, comprobemos que todo funciona:

1. Abre una nueva pestaña en tu navegador.
2. Escribe https://tudominio.com (con la s).
3. Deberías ver tu sitio cargando correctamente y, lo más importante, el candado verde en la barra de direcciones.
4. Haz clic en el candado y verifica que dice "Conexión segura" o "Certificado válido".

Si ves un mensaje de advertencia (como "No es seguro" o "Conexión no privada"), algo no está bien. Revisa los pasos anteriores.

Paso 4: Forzar HTTPS desde WordPress (el paso más importante)

Aunque ya marcaste "Force HTTPS" en DirectAdmin, es posible que tu WordPress no esté configurado internamente para usar HTTPS. Esto puede causar problemas de contenido mixto (por ejemplo, imágenes cargadas en HTTP que no se ven). Vamos a arreglarlo.

Opción A: Usar un plugin (más fácil para principiantes)

1. Desde el escritorio de WordPress, ve a Plugins > Añadir nuevo.
2. Busca un plugin como "Really Simple SSL" o "SSL Insecure Content Fixer".
3. Instálalo y actívalo.
4. El plugin detectará automáticamente que tienes SSL y te preguntará si quieres activarlo. Haz clic en "Go ahead, activate SSL!".
5. El plugin se encargará de configurar las URLs de tu sitio y de forzar HTTPS.

Opción B: Configuración manual (sin plugin)

Si prefieres no usar plugins, puedes hacerlo manualmente editando el archivo wp-config.php.

1. Accede a tu servidor por FTP o a través del File Manager de DirectAdmin.
2. Busca la carpeta de tu WordPress (normalmente public_html).
3. Encuentra el archivo wp-config.php.
4. Ábrelo con un editor de texto.
5. Justo antes de la línea que dice /* That's all, stop editing! Happy publishing. */, añade estas líneas:

define('FORCE_SSL_ADMIN', true);
define('WP_HOME', 'https://tudominio.com');
define('WP_SITEURL', 'https://tudominio.com');

Recuerda cambiar tudominio.com por tu dominio real. Guarda el archivo y listo.

Paso 5: Comprobar que no hay contenido mixto

El "contenido mixto" ocurre cuando tu página se carga en HTTPS pero algunos recursos (imágenes, scripts, hojas de estilo) se cargan en HTTP. Esto hace que el candado se vea roto o con un triángulo de advertencia.

Para comprobarlo:

1. Abre tu sitio en el navegador.
2. Haz clic derecho en la página y selecciona "Inspeccionar" o "Inspeccionar elemento" (depende del navegador).
3. Ve a la pestaña "Consola".
4. Busca mensajes de error que digan algo como "Mixed Content" o "Blocked loading mixed active content".
5. Si ves alguno, el plugin Really Simple SSL que instalamos antes suele solucionarlos automáticamente. Si no, tendrás que buscar en tu base de datos de WordPress las URLs en HTTP y reemplazarlas por HTTPS (hay plugins para eso, como "Velvet Blues Update URLs").

[WARNING] Si tienes un tema o plugin muy antiguo, puede que no sea compatible con HTTPS. En ese caso, actualízalo o contacta al desarrollador.

Paso 6: Renovación automática (no te preocupes)

Como mencioné, Let's Encrypt caduca cada 90 días. DirectAdmin tiene un cron job (tarea programada) que se encarga de renovar automáticamente tus certificados. No necesitas hacer nada.

Para verificarlo:

1. En DirectAdmin, ve a "Cron Jobs" o "Tareas Programadas".
2. Busca una línea que contenga /usr/local/directadmin/scripts/letsencrypt.sh o similar.
3. Si está ahí, la renovación está activa. Si no, puedes añadirla manualmente, pero normalmente ya viene configurada.

Preguntas frecuentes (FAQ)

Aquí te respondo las dudas más comunes que me suelen llegar.

¿Qué hago si veo un error "SSL certificate not trusted"?

Esto puede pasar si el certificado no se emitió correctamente. Vuelve a Paso 2 y solicita un nuevo certificado. A veces es un problema temporal del servidor de Let's Encrypt.

¿Puedo usar un certificado SSL de pago en lugar de Let's Encrypt?

Sí, claro. En DirectAdmin, en la sección "SSL Certificates", puedes subir un certificado de pago (como el de Comodo o DigiCert). El proceso es similar, pero en lugar de elegir "Let's Encrypt", seleccionas "Paste a pre-generated certificate and key" y pegas los archivos que te dio tu proveedor. Para la mayoría de los sitios, Let's Encrypt es más que suficiente.

Mi sitio se ve raro después de activar SSL, ¿qué hago?

Es muy probable que sea por contenido mixto. Sigue el Paso 5 para diagnosticarlo. El plugin Really Simple SSL suele ser la solución más rápida.

¿Qué pasa con mi correo electrónico?

Si marcas la opción "Mail SSL" en el Paso 2, tu correo también quedará protegido. Luego, en tu cliente de correo (Outlook, Thunderbird, etc.), deberás configurar las cuentas para que usen SSL/TLS en los puertos 465 (SMTP) y 993 (IMAP) o 995 (POP3).

¿Y si uso Syspanel (anteriormente HestiaCP)?

Si estás usando Syspanel (recuerda que el puerto de acceso es el 2106), el proceso es muy similar. Dentro de Syspanel, busca la opción "Web" > "SSL" para tu dominio y elige "Let's Encrypt". La configuración de WordPress es exactamente la misma.

Conclusión

¡Felicidades! Has protegido tu sitio WordPress con SSL usando DirectAdmin. Ahora tus visitantes pueden navegar con confianza, Google te sonríe un poco más, y tu sitio es más seguro.

Recuerda que este proceso es solo el primer paso. Mantén tu WordPress, temas y plugins siempre actualizados, y considera añadir un firewall de aplicaciones web (WAF) para una protección extra.

Si en algún momento te sientes perdido, no dudes en buscar ayuda. ¡Estoy aquí para eso! Y recuerda, la seguridad no es un lujo, es una necesidad.

¿Tienes alguna otra duda? ¡Déjala en los comentarios o consulta con tu proveedor de hosting!