Activar SSL en WordPress | Guía para HTTPS

¿Qué es SSL y por qué tu WordPress lo necesita?

Si estás leyendo esto, seguramente has visto ese candadito en la barra de direcciones de algunos sitios web y te has preguntado por qué el tuyo no lo tiene. Te lo explico fácil: SSL (Secure Sockets Layer) es como un sobre sellado para la información que viaja entre el navegador de tus visitantes y tu sitio web. Sin él, cualquier dato (contraseñas, correos, datos de tarjetas) viaja "al descubierto" y puede ser interceptado por terceros.

Activar SSL en WordPress no es un lujo, es una necesidad básica. Aquí van las razones principales:

Seguridad real: Protege la información sensible de tus usuarios y la tuya propia.
Confianza del visitante: El candadito y el "https://" generan confianza inmediata. Un sitio sin SSL hoy en día parece abandonado o sospechoso.
Posicionamiento SEO: Google confirma que HTTPS es un factor de ranking. Un sitio con SSL tiene ventaja sobre uno que no lo tiene.
Requisito para funciones modernas: Muchas APIs, pagos en línea y funcionalidades avanzadas simplemente no funcionan sin HTTPS activo.

En esta guía completa, vamos a recorrer paso a paso cómo activar SSL/HTTPS en WordPress, sin importar si eres principiante total o si ya tienes algo de experiencia. Vamos a cubrir desde la obtención del certificado hasta la configuración final en tu panel de control y en WordPress.

Antes de empezar: ¿Qué necesitas?

Para activar SSL en WordPress necesitas tres cosas básicas:

Acceso a tu panel de control de hosting (cPanel, Syspanel, Plesk, etc.). Si tu hosting usa Syspanel, recuerda que el puerto de acceso es el 2106.
Acceso al administrador de WordPress (wp-admin).
Un dominio apuntando a tu hosting (si ya tienes tu sitio funcionando, esto ya está listo).

No necesitas ser un experto en servidores ni saber de programación. Solo sigue los pasos con calma.

Paso 1: Obtén un certificado SSL gratuito (Let's Encrypt)

La forma más común y económica (gratuita, de hecho) de obtener un certificado SSL es usando Let's Encrypt. Casi todos los paneles de control modernos tienen integración con este servicio.

Si usas Syspanel (puerto 2106)

Si tu hosting usa Syspanel, el proceso es muy sencillo:

Accede a tu panel de control escribiendo tu-dominio.com:2106 en tu navegador. Por ejemplo: mipaginaweb.com:2106.
Inicia sesión con tus credenciales de administrador.
Busca la sección de Sitios Web o Dominios.
Localiza tu dominio en la lista y haz clic en el icono de ajustes o "Administrar".
Busca la opción SSL o Certificados SSL.
Selecciona Let's Encrypt como proveedor.
Asegúrate de marcar las casillas para incluir tanto tu-dominio.com como www.tu-dominio.com (esto es importante para que el certificado cubra ambas versiones).
Haz clic en Emitir o Instalar.

El proceso tarda entre 30 segundos y un par de minutos. Si todo sale bien, verás un mensaje de éxito.

Si usas cPanel

Accede a tu cPanel (normalmente en tu-dominio.com/cpanel).
Busca la sección Seguridad y haz clic en SSL/TLS Status.
Verás una lista de tus dominios. Haz clic en Run AutoSSL o Issue Certificate.
Espera unos minutos y refresca la página.

Si tu hosting no tiene Let's Encrypt integrado

No te preocupes, aún puedes obtener un certificado gratuito:

Ve a sslforfree.com (o similar).
Ingresa tu dominio y sigue las instrucciones para verificar que eres el dueño.
Descarga los archivos del certificado.
Luego, en tu panel de control, busca la opción de Instalar certificado SSL manualmente y pega los archivos (certificado, clave privada y CA Bundle).

[TIP] Algunos hosts ofrecen certificados SSL de pago con garantías adicionales. Si tu hosting es muy económico o gratuito, puede que no tengan Let's Encrypt. En ese caso, considera migrar a un hosting que sí lo soporte.

Paso 2: Configura WordPress para usar HTTPS

Una vez que el certificado está instalado en tu servidor, el siguiente paso es decirle a WordPress que use HTTPS. Hay varias formas de hacerlo, te explico las más efectivas.

Opción A: Usar un plugin (la más fácil para principiantes)

Los plugins hacen el trabajo pesado por ti. Te recomiendo Really Simple SSL, es perfecto para este propósito:

Ve a Plugins → Añadir nuevo en tu panel de WordPress.
Busca "Really Simple SSL".
Instálalo y actívalo.
Al activarlo, verás un aviso en la parte superior que dice algo como "¡Detectamos que tienes SSL!". Haz clic en Activar SSL.
El plugin se encargará de redirigir todo el tráfico HTTP a HTTPS y actualizar las URLs internas.

[WARNING] Realmente Simple SSL solo funciona si el certificado ya está instalado en el servidor. Si lo activas sin tener SSL, puede romper tu sitio. Asegúrate de completar el Paso 1 primero.

Opción B: Configuración manual (sin plugins)

Si prefieres no usar plugins (por temas de rendimiento o control), puedes hacerlo manualmente:

Ve a Ajustes → Generales en WordPress.
Cambia las dos URLs:
- Dirección de WordPress (URL): cámbiala de http:// a https://
- Dirección del sitio (URL): cámbiala de http:// a https://
Guarda los cambios.
Ahora necesitas agregar una regla de redirección. Esto se hace en el archivo .htaccess (si usas Apache) o en la configuración de Nginx.

Para .htaccess, agrega estas líneas al inicio del archivo:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

[INFO] El archivo .htaccess está en la raíz de tu instalación de WordPress. En algunos hosts está oculto; activa la opción de "mostrar archivos ocultos" en tu gestor de archivos.

Paso 3: Actualiza las URLs de tu contenido

Este es un paso que mucha gente olvida y luego se pregunta por qué las imágenes no cargan o los enlaces internos siguen apuntando a HTTP.

Usando un plugin de reemplazo

La forma más segura es usar un plugin como Better Search Replace:

Instala y activa el plugin.
Ve a Herramientas → Better Search Replace.
En "Buscar", escribe: http://tu-dominio.com
En "Reemplazar por", escribe: https://tu-dominio.com
Selecciona todas las tablas de la base de datos (o solo las de contenido si sabes cuáles son).
Marca la casilla de "dry run" (ejecución de prueba) primero para ver cuántas coincidencias hay.
Si todo se ve bien, desmarca "dry run" y ejecuta el reemplazo.

Manualmente

Si tu sitio es pequeño, puedes revisar manualmente:

Publicaciones y páginas: edita cada una y actualiza las URLs de las imágenes y enlaces internos.
Menús: ve a Apariencia → Menús y revisa cada enlace.
Widgets: revisa cualquier widget que tenga URLs hardcodeadas.

[TIP] Después de hacer el reemplazo, verifica que tu sitio cargue correctamente. Si algo se ve roto, probablemente sea un recurso que aún apunta a HTTP.

Paso 4: Configura la redirección forzada a HTTPS

Una vez que todo funciona en HTTPS, quieres asegurarte de que nadie pueda acceder a la versión HTTP. La redirección 301 es la forma correcta de hacerlo.

Redirección a nivel de servidor (recomendado)

Si ya hiciste la configuración manual del .htaccess, ya tienes esto resuelto. Si usaste el plugin Really Simple SSL, él se encarga de esto automáticamente.

Redirección a nivel de WordPress

Puedes agregar este código al archivo wp-config.php, justo antes de la línea que dice /* That's all, stop editing! */:

if (!isset($_SERVER['HTTPS']) || $_SERVER['HTTPS'] !== 'on') {
    if (!headers_sent()) {
        header("Status: 301 Moved Permanently");
        header(sprintf('Location: https://%s%s', $_SERVER['HTTP_HOST'], $_SERVER['REQUEST_URI']));
        exit();
    }
}

[WARNING] Haz una copia de seguridad de tu wp-config.php antes de editarlo. Un error de sintaxis puede dejar tu sitio inaccesible.

Paso 5: Verifica que todo funcione correctamente

No des por sentado que todo está bien solo porque tu sitio carga con HTTPS. Hay varias cosas que debes verificar:

Comprueba el candadito

Abre tu sitio en una ventana de incógnito.
Mira la barra de direcciones: debe aparecer el candadito cerrado.
Haz clic en el candadito para ver los detalles del certificado: debe decir que la conexión es segura y que el certificado es válido.

Busca contenido mixto

El "contenido mixto" ocurre cuando tu página carga en HTTPS pero tiene recursos (imágenes, scripts, CSS) que se cargan desde HTTP. Esto hace que el candadito desaparezca o que el navegador muestre una advertencia.

Para detectarlo:

Abre tu sitio en Chrome.
Presiona F12 para abrir las herramientas de desarrollador.
Ve a la pestaña Console.
Busca mensajes de error que digan "Mixed Content" o "Blocked loading mixed active content".

Si encuentras errores, el plugin Really Simple SSL tiene una función de "mixed content fixer" que te ayudará a resolverlos.

Usa herramientas externas

SSL Labs: ssllabs.com/ssltest — analiza la configuración de tu certificado y te da una calificación de A a F.
Why No Padlock: whynopadlock.com — te dice exactamente qué recursos están causando problemas de contenido mixto.

[INFO] No te asustes si ves que SSL Labs te da una calificación B o C. Eso puede deberse a configuraciones del servidor que no afectan la funcionalidad básica. Lo importante es que tengas una calificación A o superior para máxima seguridad.

Preguntas frecuentes (FAQ)

¿Cuánto tarda en activarse el SSL?

Normalmente, el certificado de Let's Encrypt se emite en menos de 5 minutos. La propagación de DNS puede tardar un poco más (hasta 24 horas en casos extremos), pero por lo general, todo funciona en menos de una hora.

¿Necesito renovar el certificado manualmente?

Los certificados de Let's Encrypt duran 90 días. Sin embargo, la mayoría de los paneles de control (incluido Syspanel) renuevan automáticamente. Verifica en tu panel que la renovación automática esté activada.

¿Qué pasa si mi hosting no soporta Let's Encrypt?

Puedes usar servicios como Cloudflare, que ofrecen SSL gratuito a nivel de CDN. Otra opción es cambiar a un hosting que sí lo soporte. En mi opinión, si tu hosting no soporta SSL gratuito, es una señal de que deberías considerar migrar.

¿El SSL afecta el rendimiento de mi sitio?

Mínimamente. El cifrado y descifrado de datos consume un poco de recursos del servidor, pero en la práctica, la diferencia es imperceptible. De hecho, con HTTP/2 (que requiere HTTPS), tu sitio puede cargar más rápido.

¿Puedo activar SSL en un sitio local (localhost)?

Sí, es posible, pero no necesario. Puedes usar certificados autofirmados para desarrollo local. WordPress no te va a obligar a tener HTTPS en localhost, pero es buena práctica configurarlo para que el entorno de desarrollo sea lo más parecido al de producción.

¿Qué hago si mi sitio se rompe después de activar SSL?

Respira. Esto es común y tiene solución:

Desactiva el plugin si usaste uno (vía FTP o el administrador de archivos del hosting).
Revierte las URLs en la base de datos (usando Better Search Replace para cambiar HTTPS de vuelta a HTTP).
Verifica el .htaccess: si agregaste la redirección, quítala temporalmente.
Una vez que tu sitio vuelva a funcionar, intenta de nuevo con más calma, paso a paso.

Conclusión y checklist final

Activar SSL en WordPress es un proceso que, aunque puede parecer intimidante al principio, es bastante manejable si sigues los pasos en orden. La clave está en hacerlo con calma y verificar cada etapa antes de pasar a la siguiente.

Aquí tienes un checklist final para asegurarte de que no se te escape nada:

Certificado SSL instalado en el servidor (Let's Encrypt u otro).
WordPress configurado para usar HTTPS (URLs en Ajustes → Generales).
Redirección 301 de HTTP a HTTPS activa.
URLs internas actualizadas (imágenes, enlaces, menús).
Contenido mixto resuelto.
Renovación automática configurada.
Verificación final con SSL Labs y Why No Padlock.

Recuerda: la seguridad de tu sitio web es una inversión, no un gasto. Un sitio con SSL no solo protege a tus visitantes, sino que también mejora tu posicionamiento y la confianza en tu marca.

¿Tienes alguna duda que no haya cubierto? Déjala en los comentarios y con gusto te ayudo a resolverla.

[TIP] Guarda esta guía en tus favoritos. Te servirá también cuando tengas que migrar de hosting o configurar un sitio nuevo. La seguridad web es algo que debes revisar periódicamente, no solo una vez.