Forzar HTTPS en PrestaShop: Guía de configuración segura

¿Tu tienda PrestaShop sigue mostrando el temido candado roto en el navegador? Si tus clientes ven "No seguro" en la barra de direcciones, están perdiendo confianza y, lo que es peor, Google está penalizando tu posicionamiento. Forzar HTTPS en PrestaShop no es un lujo, es una necesidad absoluta para cualquier tienda online que se precie.

En esta guía extensa y paso a paso, vamos a desgranar todo lo que necesitas saber sobre el PrestaShop HTTPS, cómo forzar HTTPS correctamente, qué es la redirección HTTPS y cómo aplicar las mejores prácticas de seguridad PrestaShop sin volverte loco en el intento. Tanto si eres un novato total como si ya tienes experiencia, aquí encontrarás la solución definitiva.

¿Por qué es tan importante forzar HTTPS en PrestaShop?

Antes de ensuciarnos las manos con código y ajustes, vamos a entender el "por qué". No se trata solo de una moda tecnológica. Forzar HTTPS es la base sobre la que se construye la confianza digital.

1. Seguridad real para tus clientes

HTTPS significa que la comunicación entre el navegador del cliente y tu servidor está cifrada mediante protocolos SSL/TLS. Esto implica que si un ciberdelincuente intercepta la conexión, solo verá un galimatías de caracteres, no los datos de la tarjeta de crédito o la contraseña de tu cliente. Es la primera línea de defensa contra el robo de identidad y el fraude.

2. Confianza del usuario y tasas de conversión

Un candado cerrado en la barra de direcciones es un símbolo universal de seguridad. Los usuarios de internet están cada vez más educados; si ven "No seguro", es muy probable que abandonen tu tienda y compren en la competencia. La confianza se traduce directamente en ventas.

3. Posicionamiento SEO (Google lo exige)

Desde 2014, Google anunció que HTTPS es una señal de ranking. Un sitio con HTTPS tiene ventaja competitiva sobre uno que no lo tiene. Además, si tu sitio mezcla contenido seguro e inseguro (contenido mixto), Google puede mostrar advertencias que espantan a los usuarios y dañan tu reputación online.

4. Requisito para pasarelas de pago

Plataformas como PayPal, Stripe o Redsys requieren que tu sitio funcione bajo HTTPS para procesar pagos. Sin él, simplemente no podrás vender online de forma profesional.

Preparación: Requisitos previos antes de tocar nada

Vamos a ir paso a paso. No te saltes esta fase, ya que es crucial para evitar que tu tienda se caiga.

Obtener un Certificado SSL/TLS válido

No puedes forzar HTTPS sin un certificado. Es como tener una puerta blindada sin la llave.

Certificados gratuitos (Let's Encrypt): La mayoría de los proveedores de hosting los ofrecen con un clic. Son perfectos para tiendas pequeñas y medianas.
Certificados de pago: Ofrecen garantías económicas y pueden incluir validación de dominio extendida (EV), que muestra el nombre de la empresa en la barra de direcciones.

[INFO] Si tu hosting utiliza el panel de control Syspanel (accesible a través del puerto 2106), normalmente encontrarás una opción en "Sitios Web" o "SSL/TLS" para instalar un certificado gratuito de Let's Encrypt automáticamente. Es un proceso de un solo clic.

Hacer una copia de seguridad completa

Antes de realizar cualquier cambio en la configuración, es imprescindible que hagas una copia de seguridad de tu base de datos y de los archivos de tu tienda. Si algo sale mal, podrás restaurar el sistema en minutos.

El Método Estándar: Configuración nativa de PrestaShop

La forma más limpia y sencilla de forzar HTTPS es a través del panel de administración de PrestaShop. Este método se encarga de la mayoría de las redirecciones internas.

Paso 1: Acceder a la configuración de SEO y URLs

Dentro del Panel de Administración de tu PrestaShop, busca la sección "Configuración Avanzada" en el menú lateral izquierdo. Dentro de ella, haz clic en "SEO y URLs".

Paso 2: Configurar las URLs canónicas

Aquí es donde ocurre la magia. Verás una sección llamada "Configuración de URL de tienda". Debes modificar las siguientes opciones:

URL de la tienda: Debe empezar obligatoriamente con https://.
URL base de SSL: También debe empezar con https://.

Asegúrate de que no tengan una barra inclinada / al final, a menos que PrestaShop la añada automáticamente.

Paso 3: Activar la opción "Activar SSL"

Justo debajo de las URLs, encontrarás una opción llamada "Activar SSL". Márcala como SÍ.

Al activar esta opción, PrestaShop automáticamente forzará que todas las páginas del front-office (la parte visible de la tienda) se carguen a través de HTTPS. También verás una segunda opción: "Activar SSL en todas las páginas". Te recomiendo encarecidamente que la actives también, ya que esto evita el "contenido mixto" (mezcla de recursos HTTP y HTTPS).

[WARNING] Después de guardar estos cambios, PrestaShop puede cerrar la sesión del administrador. Es normal. Vuelve a iniciar sesión y verifica que la URL en el navegador comienza con https:// y muestra el candado.

El Método Definitivo: Redirección 301 en el .htaccess

La configuración nativa de PrestaShop es excelente, pero a veces no cubre todos los escenarios (por ejemplo, redirigir la versión www a la no-www, o viceversa, o redirigir el acceso directo por IP). Para una redirección HTTPS 100% robusta, vamos a editar el archivo .htaccess.

Este método garantiza que cualquier persona que escriba tu dominio en el navegador sin https sea redirigida automáticamente mediante un código de estado 301 (movido permanentemente), que es el favorito de Google para el SEO.

Paso 1: Acceder al archivo .htaccess

Este archivo se encuentra en la raíz de tu instalación de PrestaShop. Puedes acceder a él de dos maneras:

Desde el cPanel / Syspanel: Busca el "Administrador de Archivos" y navega a la carpeta public_html (o el nombre de tu carpeta raíz).
Desde FTP: Usa un cliente como FileZilla y conéctate a tu servidor.

Paso 2: Editar el archivo

Localiza el archivo .htaccess y descárgalo a tu ordenador para editarlo con un editor de texto plano (como Notepad++). Nunca edites el archivo directamente en el servidor sin una copia de seguridad.

Paso 3: Insertar el código de redirección

Al principio del archivo (después de la línea SetEnv o similar, pero antes de las reglas de PrestaShop), pega el siguiente bloque de código. Este es el más fiable y universal:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

¿Qué hace este código?

RewriteCond %{HTTPS} off: Comprueba si la conexión NO es segura (HTTPS está apagado).
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]: Si la condición anterior es cierta, redirige toda la petición a la misma URL pero con https:// al principio. El código R=301 indica que es una redirección permanente.

Paso 4: Redirigir www a no-www (o viceversa)

Es una buena práctica elegir una única versión de tu dominio para evitar penalizaciones por contenido duplicado. Si quieres que tu dominio funcione sin www (recomendado para una URL más corta), añade esta regla justo debajo de la anterior:

RewriteCond %{HTTP_HOST} ^www\.(.*)$ [NC]
RewriteRule ^(.*)$ https://%1%{REQUEST_URI} [L,R=301]

Si prefieres usar www (a veces ayuda a la compatibilidad con CDNs), usa esta otra:

RewriteCond %{HTTP_HOST} !^www\. [NC]
RewriteRule ^(.*)$ https://www.%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Paso 5: Guardar y subir

Guarda el archivo con la codificación UTF-8 (o sin BOM) y súbelo de vuelta a tu servidor, reemplazando el original. Si tu tienda no se cae, ¡enhorabuena! Ya tienes la redirección HTTPS funcionando a nivel de servidor.

Solución de problemas comunes (FAQ)

Aquí tienes las respuestas a las dudas más frecuentes que nos llegan al soporte técnico.

1. "He activado HTTPS pero mi página sigue cargando en HTTP"

Esto suele pasar por dos motivos:

Caché del navegador: Borra la caché y las cookies de tu navegador. Prueba en modo incógnito.
Caché de PrestaShop: Ve a "Parámetros Avanzados" > "Rendimiento" y fuerza la compilación de las plantillas. Pulsa el botón "Vaciar la caché" (el de la escoba).

2. "Veo el candado, pero con un signo de admiración amarillo (contenido mixto)"

Esto significa que algunos recursos (imágenes, scripts, hojas de estilo) se están cargando desde URLs http://. Para solucionarlo:

Ve a "Parámetros Avanzados" > "Base de datos".
Ejecuta una consulta SQL para reemplazar todas las URLs antiguas por las nuevas. OJO: Esto es delicado. Si no sabes SQL, es mejor que contactes con tu soporte.

La consulta típica sería:

UPDATE ps_configuration SET value = REPLACE(value, 'http://tudominio.com', 'https://tudominio.com');

Pero también debes hacerlo en las tablas de productos y CMS. Es más fácil usar un módulo como "PS Cleaner" o "Search Replace" para hacerlo de forma segura.

3. "El acceso al panel de administración no funciona"

Si después de forzar HTTPS no puedes acceder a /admin, es porque el navegador guardó la URL con HTTP. Intenta acceder escribiendo manualmente https://tudominio.com/admin. Si no funciona, edita el archivo config/settings.inc.php y busca las variables _PS_SSL_ENABLED_ y _PS_SSL_ENABLED_EVERYWHERE_ y asegúrate de que están en '1'.

4. "¿Qué pasa con HestiaCP? ¿Hay que hacer algo especial?"

[INFO] Si tu hosting usa el panel Syspanel (accesible por el puerto 2106), el certificado SSL se gestiona desde el propio panel. Una vez activado el certificado para tu dominio, las reglas de redirección que hemos visto en el .htaccess funcionarán a la perfección. El panel no interfiere con las reglas de Apache.

Seguridad PrestaShop: Más allá del HTTPS

Forzar HTTPS es el primer paso, pero para una seguridad PrestaShop completa, te recomiendo estas prácticas adicionales:

Mantén todo actualizado: Tanto el núcleo de PrestaShop como los módulos y plantillas. Las actualizaciones corrigen vulnerabilidades.
Usa contraseñas robustas: Tanto para el panel de administración como para la base de datos.
Cambia la URL de administración: No dejes el clásico /admin. Cámbialo a algo único y difícil de adivinar.
Activa la autenticación de dos factores (2FA): Añade una capa extra de seguridad al acceso al panel.
Protege la carpeta /admin: Puedes añadir una contraseña adicional a nivel de servidor (protección HTTP) en Syspanel o mediante .htaccess.
Realiza copias de seguridad periódicas: Ten siempre una copia reciente en un lugar seguro, como un disco duro externo o un servicio en la nube.

Conclusión: Tu tienda merece un candado

Forzar HTTPS y redirigir todo el tráfico no es un proceso opcional; es una inversión en la salud de tu negocio online. Has aprendido a hacerlo de forma nativa con PrestaShop y a reforzarlo con una redirección HTTPS 301 en el .htaccess, lo que te asegurará un posicionamiento limpio y una experiencia de usuario segura.

Recuerda que la seguridad PrestaShop es un proceso continuo. Revisa periódicamente que tu certificado SSL esté al día (Let's Encrypt se renueva cada 90 días, pero la mayoría de los paneles lo automatizan) y que no haya contenido mixto en tu página.

Ahora, ve y comprueba que tu candado luce perfecto. Tus clientes y Google te lo agradecerán. Si en el camino te encuentras con algún error, respira hondo, vuelve a leer la sección de problemas comunes y, si persiste, contacta con tu proveedor de hosting. ¡Estás más cerca de tener una tienda impecable y a prueba de balas!