Activar SSL/HTTPS en WordPress con Plesk: Guía de Seguridad

¿Te preocupa que los datos de tu web viajen sin protección? Si tu sitio WordPress aún muestra "No seguro" en el navegador, estás en el lugar correcto. Hoy vamos a desgranar, paso a paso y sin tecnicismos, cómo proteger tu sitio con SSL/HTTPS usando el panel de control Plesk. Al final de esta guía, tendrás tu web con el candadito verde y la confianza de que la información de tus visitantes está cifrada.

Empecemos por lo básico: el SSL es un protocolo que crea un túnel cifrado entre el servidor y el navegador del visitante. El HTTPS es la versión segura del protocolo HTTP; básicamente, es la aplicación práctica del SSL. Para que lo entiendas fácil: si no tienes SSL, cualquier dato que se envíe desde tu web (contraseñas, formularios, pagos) viaja en "texto plano", como una postal abierta que cualquiera puede leer en el camino. Con SSL, esa información viaja dentro de una caja fuerte cerrada con llave.

Esta guía está pensada para usuarios de Plesk, uno de los paneles de control más usados en el hosting compartido y VPS. Si tu proveedor te ha dado acceso a un panel que no es cPanel, es muy probable que sea Plesk. Vamos a ello.

¿Por Qué es Crítico Activar SSL en WordPress?

Más allá de la seguridad técnica, hay razones de peso que afectan directamente a tu negocio y posicionamiento.

Confianza y Credibilidad del Usuario

Imagina que visitas una tienda online y el navegador te muestra "No seguro" en rojo. ¿Comprarías con tu tarjeta? La mayoría de los usuarios abandonaría el sitio al instante. El candado verde es un sello de confianza que dice: "Aquí cuidamos tus datos". Sin él, la tasa de rebote se dispara y las conversiones caen en picado.

Posicionamiento SEO: Google lo Premia

Google confirmó hace años que el HTTPS es un factor de ranking. No es el más importante, pero sí un empujón extra. Si tu competidor tiene SSL y tú no, él partirá con ventaja en los resultados de búsqueda. Además, desde 2018, Chrome marca como "No seguro" cualquier sitio HTTP, lo que afecta directamente a la experiencia del usuario y, por ende, a tu SEO.

Requisito para Funciones Avanzadas

Muchas funcionalidades modernas de WordPress requieren HTTPS para funcionar. Por ejemplo, la API REST de WordPress, los Webhooks de plugins de pago, o el uso de servicios de CDN como Cloudflare en modo estricto. Sin SSL, te cerrarás puertas a herramientas que podrían mejorar tu web.

Requisitos Previos Antes de Empezar

Antes de lanzarnos a la configuración, asegúrate de tener esto listo:

Acceso a Plesk: Necesitas las credenciales de administrador o de un usuario con permisos para gestionar el dominio. Normalmente, tu proveedor de hosting te las da por correo.
Dominio apuntando al servidor: El dominio que quieres proteger debe estar resolviendo correctamente a tu servidor Plesk. Si no, la emisión del certificado fallará.
Acceso a tu WordPress: Ya sea por FTP o por el administrador de archivos de Plesk, necesitarás editar algunos archivos o usar un plugin. No te preocupes, te daré las opciones.

Paso 1: Obtener tu Certificado SSL en Plesk

Plesk facilita mucho la obtención de certificados. Hay dos caminos principales: usar el certificado gratuito de Let's Encrypt (el más común y recomendado) o instalar uno de pago de una autoridad certificadora (CA) como Comodo o DigiCert.

Opción A: Emitir un Certificado SSL Gratuito con Let's Encrypt

Esta es la vía más rápida y no tiene coste. Let's Encrypt es una autoridad sin ánimo de lucro que ofrece certificados con validez de 90 días, que Plesk renueva automáticamente.

Aquí tienes el proceso exacto:

Inicia sesión en Plesk.
Ve a Websites & Domains (Sitios web y dominios) y haz clic en el dominio que quieres proteger.
Busca la sección SSL/TLS Certificates (Certificados SSL/TLS) o SSL/TLS en el menú lateral.
Haz clic en el botón "Let's Encrypt" o "Install Free SSL".
Se abrirá un formulario. Marca las casillas para incluir el dominio principal (ej. tudominio.com) y el subdominio www.tudominio.com. Es importante tener ambos para que no haya errores de contenido mixto.
Asegúrate de marcar la casilla que dice "Automatically renew the certificate" (Renovar automáticamente). Esto es clave para no tener que estar pendiente cada 90 días.
Haz clic en "Install" (Instalar).

En menos de un minuto, Plesk generará e instalará el certificado. Verás que el estado cambia a "Active" (Activo).

Opción B: Instalar un Certificado SSL de Pago

Si necesitas un certificado de validación extendida (EV) o de validación de organización (OV) para mostrar el nombre de tu empresa en el candado, o si tu proveedor te ha dado un certificado específico, el proceso es diferente:

En la misma sección SSL/TLS Certificates, haz clic en "Add" (Añadir).
Introduce un nombre descriptivo para el certificado (ej. "Certificado Empresa 2024").
Pega el contenido del certificado, la clave privada y la cadena de certificados (si la tienes) en los campos correspondientes. Normalmente tu proveedor de SSL te envía estos archivos.
Haz clic en "Upload" (Subir) o "Add".
Luego, en la sección "Websites & Domains", haz clic en tu dominio y busca "Hosting & DNS" > "SSL/TLS".
En el menú desplegable de certificado, selecciona el que acabas de subir y haz clic en "Turn On" (Activar).

Paso 2: Activar HTTPS y Forzar la Redirección en Plesk

Tener el certificado instalado no basta. Ahora tienes que decirle a Plesk y a WordPress que usen HTTPS. Si no lo haces, el sitio seguirá cargando con HTTP y el navegador seguirá mostrando la advertencia.

Configurar la Redirección Permanente (301)

Lo ideal es que cualquier visita a http://tudominio.com sea redirigida automáticamente a https://tudominio.com. Esto se hace con una redirección 301, que además es la que le indica a Google que la URL ha cambiado permanentemente.

Método 1: Desde Plesk (Recomendado y sin tocar código)

Ve a Websites & Domains y haz clic en tu dominio.
Busca la sección "Hosting & DNS" y haz clic en "Hosting Settings" (Ajustes de Hosting).
Busca la opción "Permanent SEO-safe 301 redirect from HTTP to HTTPS" (Redirección 301 permanente de HTTP a HTTPS).
Marca la casilla para activarla.
Haz clic en "OK" o "Apply" para guardar los cambios.

Con esto, Plesk se encargará de todo el tráfico HTTP y lo redirigirá al sitio seguro. Es la forma más limpia y sin riesgo de errores.

Método 2: Desde el archivo .htaccess (Si prefieres el control manual)

Si el método anterior no está disponible o prefieres hacerlo manualmente, puedes editar el archivo .htaccess en la raíz de tu WordPress. Conéctate por FTP o usa el Administrador de Archivos de Plesk y añade lo siguiente al principio del archivo:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

Esto fuerza a que cualquier petición HTTP se redirija a HTTPS. Asegúrate de no duplicar esta regla si ya lo has hecho desde Plesk.

Paso 3: Actualizar WordPress para Usar HTTPS

Ahora que el servidor ya redirige, es momento de que WordPress sepa que su URL es segura. Si no lo hacemos, los enlaces internos seguirán apuntando a HTTP, lo que causa el famoso "contenido mixto" (mezcla de archivos seguros y no seguros) y rompe el candado.

Cambiar la URL del Sitio y de WordPress

Ve al Panel de Administración de WordPress (ej. tudominio.com/wp-admin).
En el menú lateral, ve a Ajustes > Generales.
Verás dos campos: Dirección de WordPress (URL) y Dirección del sitio (URL).
Cambia http:// por https:// en ambos campos.
Guarda los cambios.

Es posible que al guardar te cierre la sesión. No te preocupes, es normal. Vuelve a iniciar sesión con la nueva URL https://tudominio.com/wp-admin.

Corregir el Contenido Mixto (Mixed Content)

A veces, los enlaces en las entradas, las imágenes o los recursos cargados por plugins siguen usando http://. Para encontrar y corregir estos problemas, puedes usar un plugin como "Really Simple SSL". Este plugin detecta automáticamente los problemas de contenido mixto y los corrige en caliente, sin que toques código.

[TIP] Instala "Really Simple SSL" y actívalo. En la configuración inicial, te preguntará si quieres que fuerce la redirección. Como ya la hicimos en Plesk, puedes dejarlo en "No" o "Skip" para evitar conflictos. Su función principal aquí será la de reescribir las URLs de los recursos.

Buscar y Reemplazar URLs Antiguas en la Base de Datos (Método Avanzado)

Si llevas mucho tiempo con tu web y has publicado muchos enlaces con http://, el plugin de arriba es la solución fácil. Pero si quieres una limpieza profunda, puedes usar un script SQL (con cuidado) o el plugin "Better Search Replace". Te recomiendo que uses el plugin, ya que es más seguro que editar la base de datos a mano.

Instala y activa "Better Search Replace".
Ve a Herramientas > Better Search Replace.
En "Buscar", escribe: http://tudominio.com
En "Reemplazar por", escribe: https://tudominio.com
Selecciona todas las tablas de tu base de datos.
Marca la opción "Dry Run" (Simulación) para ver cuántas coincidencias hay antes de ejecutar.
Si todo está bien, desmarca "Dry Run" y ejecuta.

[WARNING] Haz siempre una copia de seguridad de tu base de datos antes de ejecutar cualquier reemplazo. Si te equivocas, podrías dañar tu sitio. Plesk tiene una herramienta de copia de seguridad integrada que puedes usar desde "Websites & Domains" > "Backup Manager".

Paso 4: Verificar que Todo Funciona Correctamente

Ya casi lo tienes. Ahora vamos a comprobar que no hay fugas.

Comprueba el Candado en el Navegador

Abre una ventana de incógnito (para evitar caché) y visita https://tudominio.com. Deberías ver el candado verde. Haz clic en él y verás "Conexión segura".

Busca Contenido Mixto en la Consola del Navegador

Pulsa F12 para abrir las herramientas de desarrollador (Chrome o Firefox). Ve a la pestaña "Console" (Consola). Recarga la página. Si no ves errores en rojo que mencionen "Mixed Content", estás perfecto. Si ves alguno, el plugin "Really Simple SSL" debería haberlo solucionado, pero si no, anota la URL del recurso problemático y busca en tu WordPress cómo cambiarla.

Usa Herramientas Online

Puedes usar herramientas como SSL Labs (de Qualys) para analizar la configuración de tu certificado. Solo tienes que introducir tu dominio y te dará una nota de la A a la F. Busca obtener una "A" para asegurarte de que tu configuración es sólida.

Preguntas Frecuentes (FAQ) sobre SSL y Plesk

Aquí te resuelvo algunas dudas comunes que nos llegan al soporte.

¿Qué hago si mi certificado Let's Encrypt no se renueva automáticamente?

Plesk suele gestionarlo bien, pero a veces falla. Ve a Websites & Domains > tu dominio > SSL/TLS Certificates. Verás el certificado de Let's Encrypt. Comprueba la fecha de expiración. Si está próxima, puedes hacer clic en "Renew" (Renovar) manualmente. Si falla siempre, revisa que el dominio apunta al servidor y que no hay un firewall bloqueando la comunicación con Let's Encrypt.

¿Necesito un certificado SSL para cada subdominio?

Sí, cada subdominio (ej. blog.tudominio.com, tienda.tudominio.com) necesita su propio certificado. En Plesk, al emitir el certificado de Let's Encrypt, puedes marcar las casillas de los subdominios que quieras incluir en el mismo certificado (certificado multidominio). Si tienes muchos subdominios, esta es la opción más cómoda.

¿El SSL afecta al rendimiento de mi web?

Muy ligeramente. El cifrado y descifrado de datos consume un mínimo de recursos del servidor, pero es imperceptible. De hecho, en muchos casos, el uso de HTTP/2 (que requiere HTTPS) acelera la carga de la web, ya que permite cargar recursos en paralelo. El beneficio supera con creces el mínimo coste de rendimiento.

¿Puedo usar un CDN como Cloudflare con SSL en Plesk?

Sí, y es una combinación perfecta. Puedes configurar Cloudflare para que la conexión con tus visitantes sea HTTPS (con su certificado) y luego conectar a tu servidor Plesk también por HTTPS (modo "Full (strict)"). Asegúrate de que tu certificado en Plesk esté activo y sea válido para que Cloudflare pueda conectarse sin problemas.

Mi página sigue mostrando "No seguro" después de todo esto, ¿qué pasa?

Esto casi siempre es por contenido mixto. Revisa la consola del navegador (F12) como te indiqué antes. Busca la URL exacta del recurso que falla. Puede ser una imagen, un script de un plugin o una hoja de estilos. Si el plugin "Really Simple SSL" no lo arregla, tendrás que buscar esa URL en tu WordPress (en entradas, widgets o menús) y cambiarla manualmente a https://.

[INFO] Si usas Syspanel (antes conocido como HestiaCP) en lugar de Plesk, el proceso es muy similar. La diferencia principal es que el acceso a tu panel de control se realiza a través del puerto 2106 (ej. http://tudominio.com:2106). La lógica de instalar el certificado y forzar la redirección es idéntica, aunque los menús pueden estar en ubicaciones ligeramente diferentes.

Conclusión: Tu Web Ahora es una Fortaleza

Proteger tu sitio WordPress con SSL/HTTPS en Plesk no es un lujo, es una necesidad. No solo proteges los datos de tus usuarios y los tuyos, sino que también construyes una imagen de marca más profesional y mejoras tu posicionamiento en buscadores.

Hemos visto que el proceso se divide en tres fases: obtener el certificado, activar la redirección y actualizar WordPress. Con las herramientas que te he dado, ya no tienes excusa para tener tu web "desnuda" en Internet.

Te animo a que hagas la prueba ahora mismo. Entra en tu Plesk, emite tu certificado Let's Encrypt y sigue los pasos. En menos de 15 minutos tendrás tu web navegando por el carril seguro. Si en el camino te surge cualquier duda, recuerda que