Instalar y configurar SSL en WordPress: Guía para activar HTTPS

¿Por qué es obligatorio tener un certificado SSL en WordPress?

Piensa en el certificado SSL como el candado digital de tu sitio web. Cuando lo instalas, la dirección de tu web cambia de http:// a https:// y los datos que viajan entre el navegador del visitante y tu servidor se cifran. Esto significa que si alguien intercepta la información (como contraseñas o datos de tarjetas), solo verá un galimatías incomprensible.

Desde hace años, Google penaliza los sitios sin SSL y Chrome muestra un temido aviso de "No seguro" en la barra de direcciones. Además, si vendes productos o servicios, la confianza del cliente caerá en picado. Hoy en día, instalar SSL WordPress no es una opción, es una necesidad absoluta para el SEO y la ciberseguridad.

Paso 1: Elige el tipo de certificado SSL adecuado

Antes de empezar a instalar nada, necesitas saber qué tipo de certificado vas a usar. No te preocupes, no es tan complicado como parece.

Certificados gratuitos (Let's Encrypt)

Son la opción más popular para la mayoría de sitios web. Son 100% gratuitos, se renuevan automáticamente cada 90 días y ofrecen el mismo cifrado de 256 bits que uno de pago. La mayoría de los paneles de control de hosting los integran con un clic.

Certificados de pago (DV, OV, EV)

Si gestionas una tienda online grande o una empresa que maneja datos muy sensibles, quizás quieras un certificado de validación extendida (EV). Muestran el nombre de la empresa en la barra de direcciones y generan más confianza, pero cuestan entre 30 y 200 euros al año.

[TIP] Para el 95% de los casos, un certificado gratuito de Let's Encrypt es más que suficiente. No te compliques la vida.

Paso 2: Instalar SSL WordPress desde tu panel de hosting

Aquí es donde empieza la acción. El método exacto depende de tu proveedor de hosting, pero el proceso es muy similar en todos. Voy a explicarte el flujo general y luego te doy un ejemplo práctico.

Método general (cPanel)

Accede a tu panel de control de hosting (normalmente en tudominio.com/cpanel).
Busca la sección "Seguridad" o "SSL/TLS".
Haz clic en "Let's Encrypt" o "SSL Gratuito".
Selecciona el dominio al que quieres aplicar el certificado (por ejemplo, tudominio.com).
Haz clic en "Emitir" o "Instalar".
Espera entre 1 y 5 minutos. El sistema generará el certificado automáticamente.

Método con Syspanel

Si tu hosting utiliza Syspanel (el panel de control que antes se llamaba HestiaCP), el proceso es igual de sencillo. Recuerda que el acceso a este panel es a través del puerto 2106 (por ejemplo: tudominio.com:2106).

Entra en Syspanel usando tu usuario y contraseña de administrador.
En el menú lateral, busca la pestaña "Web" o "Sitios Web".
Localiza tu dominio en la lista y haz clic en el icono de "SSL" (normalmente un candado).
Selecciona la opción "Let's Encrypt" y marca la casilla que dice "Incluir subdominios" si los necesitas.
Pulsa "Guardar" o "Emitir".

[WARNING] Si tu dominio apunta a un servidor externo o tiene DNS muy avanzados, el certificado puede fallar. Asegúrate de que el dominio resuelve correctamente a tu servidor antes de intentar la emisión.

Paso 3: Activar HTTPS WordPress de forma segura

Instalar el certificado es solo la mitad del trabajo. Ahora tienes que hacer que WordPress use ese certificado. Si no lo haces correctamente, puedes romper la web o crear un bucle de redirección infinito.

3.1. Cambia la URL del sitio en el administrador

Ve a Ajustes > Generales en tu panel de WordPress.
Cambia ambos campos (Dirección de WordPress y Dirección del sitio) de http:// a https://.
Guarda los cambios.

3.2. Actualiza las URLs en la base de datos

Este es el paso que la mayoría de la gente olvida. Tienes muchas entradas en tu base de datos que todavía apuntan a http://. Si no las actualizas, tendrás una mezcla de contenido seguro e inseguro, y el candado no aparecerá.

La forma más segura es usar un plugin llamado Better Search Replace. Aquí te va el proceso:

Ve a Plugins > Añadir nuevo y busca "Better Search Replace".
Instálalo y actívalo.
Ve a Herramientas > Better Search Replace.
En el campo "Buscar" escribe: http://tudominio.com
En el campo "Reemplazar por" escribe: https://tudominio.com
Selecciona todas las tablas de la base de datos.
Marca la casilla "Ejecutar como consulta seca" (esto evita que el plugin intente adivinar formatos).
Haz clic en "Ejecutar".

[WARNING] Antes de ejecutar, haz una copia de seguridad de la base de datos. Si algo sale mal, podrás restaurarla. Este proceso es seguro, pero es mejor prevenir.

3.3. Actualiza las URLs en el archivo .htaccess

Por último, añade estas reglas al archivo .htaccess de tu raíz de WordPress (normalmente en public_html). Puedes acceder a él desde el administrador de archivos de tu hosting o por FTP.

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

Paso 4: Forzar HTTPS WordPress con plugins

Si no te apetece tocar código, los plugins son tus mejores aliados. El más recomendado es Really Simple SSL. Es gratuito, ligero y hace el trabajo sucio por ti.

Cómo usar Really Simple SSL

Instala y activa el plugin desde el repositorio de WordPress.
Nada más activarlo, verás un aviso en la parte superior. Haz clic en "¡Vamos a hacerlo!".
El plugin detectará tu certificado SSL y activará forzar HTTPS WordPress automáticamente.
Ve a Ajustes > Really Simple SSL y verifica que todo está en verde.

[INFO] Este plugin también corrige problemas de contenido mixto (elementos cargados por HTTP en una página HTTPS). Es una solución muy completa para principiantes.

Paso 5: Verifica que todo funciona correctamente

Después de instalar y configurar, es hora de comprobar que no has roto nada.

Comprobaciones rápidas

Abre tu sitio en modo incógnito y verifica que aparece el candado.
Haz clic en el candado y selecciona "La conexión es segura". Ahí verás los detalles del certificado.
Navega por varias páginas (entradas, carrito, contacto) y fíjate si hay algún error de contenido mixto.
Usa la herramienta de Google "Mobile-Friendly Test" o "PageSpeed Insights" para ver si Google detecta problemas.

Si ves el error "Tu conexión no es privada"

Esto significa que el certificado no se instaló correctamente o que hay un problema de cadena de confianza. Revisa los siguientes puntos:

¿El certificado está emitido para el dominio correcto? (No uses www si no lo has configurado).
¿El hosting ha propagado el certificado? (A veces tarda unos minutos).
¿Hay algún firewall o CDN (como Cloudflare) que esté interfiriendo?

Preguntas frecuentes sobre certificados SSL en WordPress

¿Cuánto tarda en hacer efecto el SSL?

La emisión suele tardar entre 1 y 10 minutos. La propagación global de DNS y la actualización de los buscadores puede tardar hasta 24 horas, pero tu sitio funcionará con HTTPS inmediatamente.

¿Necesito renovar el certificado manualmente?

Si usas Let's Encrypt con un panel como cPanel o Syspanel, la renovación es automática. No tienes que hacer nada. Si usas un certificado de pago, tendrás que renovarlo manualmente una vez al año (o cada dos años si es de larga duración).

¿Qué pasa con mi SEO si cambio de HTTP a HTTPS?

Si lo haces correctamente con redirecciones 301, tu SEO mejorará. Google prefiere HTTPS. Solo asegúrate de:

Actualizar tus URLs en Google Search Console.
Enviar un nuevo sitemap.
Verificar que no hay errores 404 tras el cambio.

¿Puedo tener SSL en un subdominio?

Sí. Con Let's Encrypt puedes emitir certificados wildcard (que cubren todos los subdominios) o certificados individuales. En Syspanel, marca la opción "Incluir subdominios" y listo.

¿Qué es el contenido mixto y por qué es malo?

Es cuando tu página HTTPS carga imágenes, scripts o CSS desde URLs HTTP. El navegador bloquea estos recursos y tu web se ve rota. Usa plugins como Really Simple SSL o busca en tu base de datos las URLs antiguas con Better Search Replace para solucionarlo.

Consejos finales para una seguridad WordPress SSL óptima

Instalar el certificado es el primer paso, pero no el único. Para mantener tu sitio seguro:

Mantén WordPress, plugins y temas actualizados.
Usa un firewall de aplicación web (WAF) como Wordfence.
Cambia tu prefijo de base de datos de wp_ a algo personalizado.
Limita los intentos de inicio de sesión.
Haz copias de seguridad semanales (o diarias si actualizas mucho contenido).

[TIP] Si tienes dudas sobre si tu SSL está bien configurado, visita https://www.ssllabs.com/ssltest/ y analiza tu dominio. Te dará una nota de la A a la F. Busca obtener una A.

Resumen: Tu checklist para instalar SSL WordPress

Elige el tipo de certificado (gratuito o de pago).
Emite el certificado desde tu panel de hosting (cPanel, Syspanel, etc.).
Cambia las URLs de WordPress a HTTPS en Ajustes > Generales.
Reemplaza las URLs antiguas en la base de datos con Better Search Replace.
Añade las reglas de redirección 301 en el .htaccess.
Instala y activa Really Simple SSL para forzar HTTPS WordPress.
Verifica con el candado y herramientas externas.
Actualiza Google Search Console con la nueva URL.

Siguiendo estos pasos, tendrás un sitio web seguro, rápido y confiable a los ojos de Google y de tus visitantes. No tengas miedo de equivocarte: el proceso es reversible y, si algo falla, siempre puedes restaurar una copia de seguridad. ¡Manos a la obra!