Cómo proteger WordPress con SSL en Plesk: guía fácil

Sabemos que la seguridad es una de tus principales preocupaciones al gestionar un sitio web. Si tienes un sitio WordPress alojado en un servidor con Plesk, una de las primeras y más importantes medidas que debes tomar es protegerlo con un certificado SSL. No solo es fundamental para la seguridad de tus visitantes, sino que también es un factor clave para el SEO y la confianza de tu marca.

En este artículo, te guiaremos paso a paso, como si estuvieras hablando con un técnico de soporte amigable, para que puedas instalar, configurar y forzar SSL en tu WordPress desde el panel de Plesk. Al final, tendrás un sitio más seguro, rápido y mejor posicionado.

¿Por qué es tan importante proteger WordPress con SSL?

Antes de empezar con los pasos técnicos, vamos a entender por qué esto es tan importante. Un certificado SSL (Secure Sockets Layer) crea un túnel cifrado entre el navegador de tu visitante y tu servidor. Esto significa que cualquier dato que se intercambie (contraseñas, formularios, pagos) viaja de forma segura, protegido de posibles interceptores.

Beneficios clave para tu WordPress:

Seguridad de datos: Protege la información sensible de tus usuarios y la tuya propia.
Confianza del usuario: El candado verde y el "https://" en la barra de direcciones indican que tu sitio es legítimo y seguro.
Mejora del SEO: Google considera el uso de SSL como un factor de posicionamiento. Un sitio con HTTPS tiene ventaja sobre uno sin él.
Requisito para funcionalidades modernas: Muchas APIs y servicios (como Payment Gateways o ciertas funciones de WordPress) exigen HTTPS para funcionar.

Requisitos previos: Lo que necesitas saber

Antes de comenzar, asegúrate de tener lo siguiente:

Acceso a Plesk: Necesitas las credenciales de administrador de tu panel Plesk (generalmente accedes a través de https://tudominio.com:8443 o la IP de tu servidor).
Un dominio apuntando a tu servidor: El dominio para el que quieres el SSL debe estar configurado en Plesk y apuntando correctamente a tu servidor.
WordPress instalado: Lógicamente, necesitas tener WordPress funcionando en ese dominio.
Acceso a la base de datos (opcional pero recomendado): Para hacer cambios de forma segura, a veces es mejor tocar la base de datos directamente.

[TIP] Si estás usando un panel alternativo como Syspanel (que es una versión de HestiaCP), el acceso es similar pero el puerto suele ser el 2106. El proceso de instalación de SSL es análogo, aunque la interfaz es diferente. En este artículo nos centramos en Plesk, pero los principios son universales.

Paso 1: Obtener e instalar el certificado SSL en Plesk

Plesk facilita mucho la obtención de certificados SSL. Tienes varias opciones:

Opción A: Usar Let's Encrypt (Recomendado para principiantes y sitios sin comercio electrónico)

Let's Encrypt es una autoridad certificadora gratuita, automatizada y abierta. Es perfecta para la mayoría de sitios web.

Accede a tu panel de Plesk.
Ve a "Sitios web y dominios" y selecciona el dominio de tu WordPress.
Busca la sección "Certificados SSL/TLS" o un botón que diga "Proteger con Let's Encrypt" (dependiendo de la versión de Plesk, puede variar ligeramente).
Haz clic en "Instalar" o "Agregar".
Se te pedirá que elijas el tipo de certificado. Para un solo dominio, elige "Dominio único". Si tienes subdominios (como www.tudominio.com), elige "Dominio con www" o "Wildcard" (más avanzado).
Marca la casilla "Incluir www.tudominio.com" (si aplica) y asegúrate de que tu dominio principal esté seleccionado.
Haz clic en "Instalar" o "Obtener". Plesk se comunicará automáticamente con Let's Encrypt y, en unos segundos, tu certificado estará instalado y activo.

[WARNING] Let's Encrypt emite certificados con una validez de 90 días. Plesk suele renovarlos automáticamente, pero es bueno revisar cada par de meses que la renovación automática esté funcionando. Si falla, tu sitio podría mostrar un error de seguridad.

Opción B: Usar un certificado SSL de pago (Recomendado para tiendas online o sitios con alta sensibilidad)

Si necesitas un nivel de validación superior (por ejemplo, para negocios o sitios que manejan datos financieros), puedes comprar un certificado SSL de una autoridad certificadora como DigiCert, Comodo o GlobalSign.

Genera una solicitud de firma de certificado (CSR) desde Plesk. Ve a "Sitios web y dominios" > "Certificados SSL/TLS" > "Agregar certificado". Rellena los datos (nombre de la empresa, país, etc.) y Plesk generará un CSR y una clave privada.
Copia el CSR y pégalo en el formulario de compra de tu proveedor de SSL.
Completa el proceso de validación (normalmente por correo electrónico o DNS).
Recibirás el certificado (un bloque de texto). En Plesk, ve a "Sitios web y dominios" > "Certificados SSL/TLS", selecciona el certificado que creaste (basado en el CSR) y haz clic en "Subir" o "Instalar". Pega el certificado que te dieron.
Asigna el certificado a tu dominio. En la misma sección, asegúrate de que el certificado esté marcado como "Predeterminado" o asignado a tu dominio.

Paso 2: Configurar WordPress para usar HTTPS (Forzar SSL)

Tener el certificado instalado en el servidor no es suficiente. Tu WordPress sigue "pensando" que su dirección es http://. Hay que decírselo.

Método 1: Cambiar la URL del sitio en Ajustes (Recomendado para principiantes)

Este es el método más directo, pero requiere que puedas acceder al panel de administración de WordPress.

Accede a tu panel de WordPress (ej: http://tudominio.com/wp-admin).
Ve a "Ajustes" > "Generales".
En los campos "Dirección de WordPress (URL)" y "Dirección del sitio (URL)", cambia http:// por https://.
Guarda los cambios. Inmediatamente, WordPress intentará redirigirte a la nueva URL. Es posible que tengas que volver a iniciar sesión.

[WARNING] Este método puede causar problemas si tu sitio ya tiene contenido con enlaces absolutos (imágenes, CSS, JS) que apuntan a http://. Si ves que el sitio se ve raro (sin estilos, imágenes rotas), no te preocupes, es normal. Lo solucionaremos en el siguiente paso.

Método 2: Usar un plugin (Más fácil y seguro para contenido existente)

Si no te sientes cómodo tocando la base de datos o si tu sitio tiene mucho contenido antiguo, usa un plugin. El más recomendado es "Really Simple SSL".

Instala y activa el plugin desde el repositorio de WordPress (Apariencia > Plugins > Añadir nuevo).
Actívalo. El plugin detectará automáticamente que tienes un certificado SSL instalado y te preguntará si quieres activar SSL. Haz clic en "¡Activar SSL!".
El plugin se encarga de todo: cambia las URLs en la base de datos, configura las redirecciones de http a https y corrige los enlaces mixtos (contenido que se carga por HTTP en una página HTTPS).

[TIP] Realmente Simple SSL es la opción más segura para no técnicos. No toca archivos críticos y es fácil de desactivar si algo sale mal.

Método 3: Editar el archivo wp-config.php (Manual y avanzado)

Si prefieres no usar plugins, puedes forzar SSL desde el archivo de configuración de WordPress.

Conéctate a tu servidor vía FTP o mediante el administrador de archivos de Plesk.
Localiza el archivo wp-config.php en la raíz de tu instalación de WordPress.
Añade las siguientes líneas justo antes de la línea que dice /* That's all, stop editing! Happy publishing. */ :

define('FORCE_SSL_ADMIN', true);

// Si quieres forzar SSL en todo el sitio (incluso en la parte pública)
if (strpos($_SERVER['HTTP_X_FORWARDED_PROTO'], 'https') !== false)
    $_SERVER['HTTPS']='on';

Guarda el archivo. Esto forzará que todas las peticiones al panel de administración (/wp-admin) y a la página de inicio de sesión sean a través de HTTPS.

Paso 3: Redirigir todo el tráfico HTTP a HTTPS (Configuración del servidor)

Aunque WordPress ya sepa que debe usar HTTPS, es buena práctica asegurarse de que cualquier visita que llegue a http://tudominio.com sea redirigida automáticamente a https://tudominio.com. Esto se hace a nivel de servidor.

Desde Plesk (Método recomendado)

Plesk tiene una opción muy sencilla para forzar la redirección.

Ve a "Sitios web y dominios" de tu dominio.
Busca la opción "Redirección HTTPS" o "Forzar HTTPS" (puede estar en un menú desplegable llamado "Hosting Settings" o "SSL/TLS").
Marca la casilla que dice "Forzar redirección HTTPS" o similar.
Guarda los cambios. Plesk automáticamente creará las reglas de redirección en el servidor web (Apache o Nginx).

Manualmente (Editando el .htaccess)

Si no encuentras la opción en Plesk o prefieres hacerlo manualmente, puedes editar el archivo .htaccess de tu WordPress.

Accede a la raíz de tu WordPress (donde está el wp-config.php).
Abre el archivo .htaccess (si no existe, créalo).
Añade las siguientes líneas al principio del archivo (después de la línea # BEGIN WordPress si existe, pero antes de las reglas de WordPress).

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]
</IfModule>

[WARNING] Asegúrate de que tu servidor tenga el módulo mod_rewrite habilitado (es común en la mayoría de los hosting compartidos). Si no funciona, contacta a tu proveedor.

Paso 4: Verificar que todo funciona correctamente

Una vez realizados los pasos anteriores, es hora de comprobar que todo está en orden.

Accede a tu sitio web escribiendo https://tudominio.com en el navegador. Deberías ver el candado verde.
Prueba a escribir http://tudominio.com . Deberías ser redirigido automáticamente a la versión HTTPS.
Revisa el panel de administración (https://tudominio.com/wp-admin). Debe cargarse correctamente.
Utiliza herramientas online como "Why No Padlock?" o "SSL Labs SSL Test" para analizar tu sitio en busca de contenido mixto o problemas de configuración SSL.

Preguntas Frecuentes (FAQ)

¿Qué pasa si mi sitio ya tiene contenido con enlaces HTTP?

Es muy común. Al activar SSL, el navegador puede mostrar una advertencia de "contenido mixto" (mixed content). La solución es usar un plugin como "Really Simple SSL" o "Better Search Replace" para buscar y reemplazar todas las URLs http://tudominio.com por https://tudominio.com en la base de datos.

¿El SSL afecta la velocidad de mi sitio?

Sí, pero para bien. Aunque el cifrado añade una pequeña sobrecarga, los navegadores modernos y los servidores optimizados (con HTTP/2) hacen que el impacto sea mínimo. De hecho, Google ha confirmado que HTTPS es un factor de ranking, por lo que la mejora en SEO suele compensar cualquier pequeña penalización de rendimiento.

¿Necesito un SSL diferente para cada dominio en Plesk?

No necesariamente. Puedes usar un certificado Wildcard (*.tudominio.com) que cubra todos los subdominios, o un certificado SAN (Subject Alternative Name) que cubra varios dominios diferentes (ej: tudominio.com, otrodominio.com). Let's Encrypt también ofrece certificados gratuitos para múltiples dominios.

¿Qué hago si después de forzar SSL, mi sitio deja de cargar?

No entres en pánico. Sucede a veces, especialmente si hay problemas de redirección en bucle. La solución más común es:

Accede a tu servidor vía FTP y elimina las líneas que añadiste en el .htaccess (o desactiva el plugin Really Simple SSL renombrando su carpeta en /wp-content/plugins/).
Vuelve a acceder a tu WordPress por HTTP y desactiva la redirección forzada.
Revisa la configuración de Plesk para asegurarte de que la opción "Forzar HTTPS" no esté causando un conflicto con las reglas de .htaccess.

¿Puedo usar SSL con Syspanel?

Sí, absolutamente. Syspanel (la versión de HestiaCP) también soporta Let's Encrypt y certificados de pago. El proceso es similar: accedes a tu panel por el puerto 2106, buscas la sección de SSL/TLS de tu dominio y sigues los mismos pasos. La interfaz es diferente, pero el concepto es idéntico.

Conclusión

Proteger tu sitio WordPress con SSL desde Plesk es un proceso sencillo pero crucial. No solo proteges a tus usuarios y tus datos, sino que también mejoras la confianza y el posicionamiento en buscadores. Siguiendo esta guía, has instalado el certificado, configurado WordPress y asegurado las redirecciones. Ahora tu sitio es un lugar más seguro para navegar.

[INFO] Recuerda que la seguridad es un proceso continuo. Mantén actualizado tu WordPress, tus plugins y tu panel de control. Revisa periódicamente que tu certificado SSL esté vigente y que las redirecciones funcionen correctamente. Si tienes dudas, no dudes en contactar a tu proveedor de hosting o a un técnico especializado. ¡Tu sitio web te lo agradecerá!