Activar SSL y forzar HTTPS en WordPress (cPanel)

¿Qué es SSL y por qué debería activarlo en tu WordPress?

Si estás leyendo esto, probablemente has visto ese candado roto en la barra de direcciones de tu navegador o el temido mensaje "No es seguro" al visitar tu propia web. No te preocupes, es más común de lo que crees y la solución es más sencilla de lo que imaginas.

SSL (Secure Sockets Layer) es un protocolo de seguridad que cifra la información que viaja entre el navegador de tus visitantes y tu servidor. En términos simples, es como si enviaras tus datos dentro de una caja fuerte en lugar de una postal abierta. Cuando activas SSL en WordPress, tu sitio pasa de mostrar "http://" a "https://", y ese candado cerrado aparece en el navegador.

¿Por qué es tan importante? Primero, porque Google penaliza los sitios sin SSL en sus resultados de búsqueda. Segundo, porque si tienes formularios de contacto, carritos de compra o cualquier tipo de inicio de sesión, sin SSL estás exponiendo información sensible. Y tercero, porque la confianza de tus visitantes aumenta notablemente cuando ven el candado de seguridad.

La buena noticia es que hoy en día puedes activar SSL en WordPress con cPanel de forma gratuita gracias a Let's Encrypt, una autoridad de certificación que ofrece certificados SSL sin coste alguno. En este artículo te guiaré paso a paso para que lo hagas tú mismo, sin necesidad de ser un experto técnico.

Requisitos previos antes de empezar

Antes de lanzarnos a activar SSL en WordPress con cPanel, necesitas asegurarte de cumplir algunos requisitos básicos:

Tener acceso a cPanel de tu hosting. Normalmente es a través de "tudominio.com/cpanel" o un puerto específico que te haya indicado tu proveedor.
Tener acceso al panel de administración de WordPress (wp-admin).
Que tu dominio apunte correctamente al servidor donde está alojado tu WordPress.
Tener una copia de seguridad reciente de tu sitio. Esto es fundamental por si algo sale mal durante el proceso.
Acceso a la base de datos de tu WordPress (aunque con el método que te explicaré no será necesario tocarla directamente).

Si estás usando un hosting que gestiona cPanel, es muy probable que ya tengas la opción de instalar Let's Encrypt automáticamente. En caso de que tu proveedor use otro panel de control como Syspanel, el proceso es similar pero el puerto de acceso es el 2106, no el habitual 2083.

Paso 1: Activar SSL Let's Encrypt desde cPanel

El primer paso para activar SSL en WordPress con cPanel es instalar el certificado en tu servidor. Vamos a hacerlo con Let's Encrypt, que es gratuito y se renueva automáticamente en la mayoría de los casos.

Accede a cPanel

Escribe en tu navegador "tudominio.com/cpanel" y accede con las credenciales que te proporcionó tu hosting. Si no sabes cuáles son, contacta con soporte técnico. Una vez dentro, busca la sección "Seguridad" o "SSL/TLS".

Instala el certificado Let's Encrypt

En la sección de seguridad, busca la opción que diga "Let's Encrypt" o "SSL/TLS Status". Si tu hosting tiene instalado el gestor de Let's Encrypt integrado, verás algo como esto:

Haz clic en "SSL/TLS Status" o "Let's Encrypt".
Se mostrará una lista de tus dominios. Busca el dominio principal de tu WordPress.
Haz clic en "Issue" o "Instalar" (el texto puede variar según el hosting).
Espera unos segundos mientras el sistema genera el certificado.
Verás un mensaje de confirmación indicando que el certificado se instaló correctamente.

[INFO] Si no encuentras la opción de Let's Encrypt en tu cPanel, contacta con tu proveedor de hosting. Algunos hostings lo tienen desactivado por defecto o requieren que lo actives desde la sección de "Configuración" del panel.

Verifica la instalación del certificado

Después de instalar el certificado, puedes verificar que todo está correcto de dos maneras:

Vuelve a la sección "SSL/TLS Status" y comprueba que tu dominio aparece con un candado verde.
Abre una ventana de incógnito en tu navegador y escribe "https://tudominio.com". Si el candado aparece, el certificado está activo.

Paso 2: Forzar HTTPS en WordPress mediante archivos

Ahora que ya tienes el certificado SSL instalado, es momento de forzar https WordPress. Esto significa que todos los visitantes que lleguen a tu sitio serán redirigidos automáticamente a la versión segura "https://".

Existen varias formas de hacerlo, pero te mostraré las dos más efectivas y seguras.

Método 1: Modificar el archivo .htaccess

Esta es la forma más directa. El archivo .htaccess es un archivo de configuración que se encuentra en la raíz de tu instalación de WordPress. Para editarlo:

Accede a cPanel y busca la opción "Administrador de archivos" (File Manager).
Navega hasta la carpeta "public_html" (o la carpeta donde tengas instalado WordPress).
Busca el archivo ".htaccess". Si no lo ves, activa la opción "Mostrar archivos ocultos" en la configuración del administrador de archivos.
Haz clic derecho y selecciona "Editar".
Añade el siguiente código al principio del archivo:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

Guarda los cambios y cierra el editor.

[WARNING] Antes de editar el .htaccess, asegúrate de haber hecho una copia de seguridad del archivo original. Si algo sale mal, puedes restaurar la copia fácilmente.

Método 2: Usar un plugin de WordPress

Si prefieres no tocar archivos directamente, la opción más fácil es usar un plugin. Te recomiendo "Really Simple SSL", que es muy popular y fácil de usar:

Ve a tu panel de WordPress y entra en "Plugins" > "Añadir nuevo".
Busca "Really Simple SSL" e instálalo.
Actívalo y sigue el asistente que te guiará paso a paso.
El plugin detectará automáticamente tu certificado SSL y activará la redirección HTTPS.
Configura la redirección 301 en los ajustes del plugin para que sea permanente.

Paso 3: Actualizar URLs en WordPress

Este paso es crucial para evitar problemas de contenido mixto (mixed content). El contenido mixto ocurre cuando tu página carga en HTTPS pero algunos recursos (imágenes, scripts, hojas de estilo) se cargan en HTTP, lo que hace que el candado aparezca roto.

Actualiza las URLs del sitio

Ve a "Ajustes" > "Generales" en tu panel de WordPress. Verás dos campos:

Dirección de WordPress (URL)
Dirección del sitio (URL)

Ambos deben tener "https://" en lugar de "http://". Cámbialos y guarda los cambios.

Reemplaza URLs en la base de datos

Si tu sitio ya tenía contenido publicado, es muy probable que las URLs antiguas estén guardadas en la base de datos. Para solucionarlo, tienes dos opciones:

Opción A: Usar el plugin "Better Search Replace" que te permite buscar y reemplazar URLs en la base de datos sin tocar código:

Instala y activa el plugin.
En "Buscar", escribe "http://tudominio.com".
En "Reemplazar por", escribe "https://tudominio.com".
Selecciona todas las tablas y ejecuta la operación.

Opción B: Si prefieres hacerlo manualmente, puedes usar phpMyAdmin desde cPanel:

Accede a phpMyAdmin desde cPanel.
Selecciona tu base de datos de WordPress.
Ve a la pestaña "SQL" y ejecuta esta consulta (reemplaza "tudominio.com" por tu dominio real):

UPDATE wp_options SET option_value = REPLACE(option_value, 'http://tudominio.com', 'https://tudominio.com') WHERE option_name = 'home' OR option_name = 'siteurl';

[INFO] La consulta anterior solo actualiza las opciones principales. Si tienes contenido con URLs antiguas en posts, páginas o menús, necesitarás una consulta más completa o usar el plugin de reemplazo.

Paso 4: Corregir contenido mixto y recursos

Después de cambiar las URLs, es posible que algunos recursos sigan cargando en HTTP. Esto se debe a que algunos temas y plugins guardan URLs absolutas en sus opciones.

Usa el plugin de detección de contenido mixto

El plugin "Really Simple SSL" que instalamos antes tiene una herramienta de detección de contenido mixto. Ve a "Ajustes" > "SSL" y busca la opción de escaneo. Te mostrará una lista de recursos que cargan en HTTP para que puedas corregirlos uno a uno.

Actualiza las URLs en tu tema y plugins

Si el problema persiste, revisa los ajustes de tu tema y de los plugins. Muchos tienen opciones donde se guardan URLs absolutas. Busca en "Ajustes" > "Medios" y asegúrate de que la URL base sea "https://".

Verifica con herramientas externas

Puedes usar herramientas gratuitas como "Why No Padlock" o "SSL Checker" para detectar cualquier problema de contenido mixto en tu sitio. Simplemente introduce tu URL y te mostrará qué recursos están cargando en HTTP.

Paso 5: Configurar redirección permanente 301

La redirección 301 es la forma correcta de indicar a los buscadores que tu sitio ha cambiado permanentemente de HTTP a HTTPS. Esto es crucial para mantener tu posicionamiento SEO.

Configura la redirección en el .htaccess

Si ya añadiste el código del paso 2, esta redirección ya está configurada. Si no, vuelve al archivo .htaccess y asegúrate de que el código esté presente.

Verifica las redirecciones

Para comprobar que todo funciona correctamente:

Abre una ventana de incógnito en tu navegador.
Escribe "http://tudominio.com" (sin la "s").
Deberías ser redirigido automáticamente a "https://tudominio.com".
Haz clic derecho en la página y selecciona "Ver código fuente" o "Inspeccionar".
Busca la respuesta del servidor. Deberías ver un código 301 o 308.

Paso 6: Actualizar Google Search Console y sitemaps

Una vez que tengas todo funcionando con HTTPS, es importante que informes a Google sobre el cambio para evitar pérdidas de posicionamiento.

Añade la propiedad HTTPS en Google Search Console

Ve a Google Search Console.
Añade una nueva propiedad con "https://tudominio.com".
Verifica la propiedad siguiendo las instrucciones.
Una vez verificada, usa la herramienta "Cambio de dirección" en la antigua propiedad HTTP.

Actualiza tu sitemap

Si utilizas un plugin de SEO como Yoast o Rank Math, actualiza la configuración del sitemap para que use las URLs HTTPS. La mayoría de estos plugins detectan automáticamente el cambio, pero es bueno verificar.

Preguntas frecuentes sobre SSL en WordPress

¿Cuánto tarda en activarse el SSL de Let's Encrypt?

Normalmente, la emisión del certificado es instantánea, en cuestión de segundos. Sin embargo, la propagación de DNS y la actualización de cachés puede tardar entre 5 minutos y 24 horas.

¿Necesito renovar manualmente el certificado SSL?

No, Let's Encrypt se renueva automáticamente en la mayoría de los hostings. Sin embargo, es recomendable verificar cada 3 meses que la renovación automática funciona. Puedes comprobarlo en cPanel en la sección de Let's Encrypt.

¿Qué pasa si mi hosting no tiene Let's Encrypt en cPanel?

Algunos hostings no incluyen esta opción. En ese caso, tienes dos alternativas:

Contactar con tu proveedor para que lo instale.
Usar un servicio como Cloudflare que ofrece SSL gratuito a través de su red.

¿Puedo activar SSL en WordPress con cPanel si tengo varios dominios?

Sí, el proceso es el mismo para cada dominio. Solo debes repetir los pasos de instalación del certificado para cada dominio en cPanel.

¿Afecta el SSL al rendimiento de mi web?

El SSL añade una pequeña sobrecarga, pero con la tecnología moderna es prácticamente imperceptible. Además, con HTTP/2 que requiere SSL, tu sitio puede cargar incluso más rápido.

Consejos finales y buenas prácticas

Una vez que hayas activado SSL en WordPress con cPanel y forzado HTTPS, te recomiendo seguir estas buenas prácticas:

Haz copias de seguridad periódicas: Antes de hacer cualquier cambio importante, asegúrate de tener una copia reciente.
Monitoriza tu sitio: Usa herramientas como Uptime Robot o "Is It Up" para verificar que tu sitio está siempre disponible.
Actualiza regularmente: Mantén WordPress, tus temas y plugins siempre actualizados para evitar vulnerabilidades.
Verifica la caducidad del certificado: Aunque se renueve automáticamente, es bueno saber cuándo caduca para prevenir problemas.

[TIP] Si después de todo el proceso sigues viendo el candado roto, prueba a limpiar la caché de tu navegador y del plugin de caché de WordPress. A veces los navegadores guardan la versión antigua de la página.

Conclusión

Activar SSL en WordPress con cPanel es un proceso que, aunque parece complejo, es bastante sencillo si sigues los pasos correctos. Con Let's Encrypt tienes la ventaja de que es gratuito y automático, así que no tienes excusa para no tener tu sitio seguro.

Recuerda que forzar HTTPS no solo protege a tus visitantes, sino que también mejora tu posicionamiento en Google y aumenta la confianza en tu marca. El candado verde es hoy en día un estándar que todos los usuarios esperan ver.

Si has seguido todos los pasos de esta guía, tu sitio debería estar funcionando correctamente con HTTPS. Si tienes algún problema, no dudes en consultar con tu proveedor de hosting o buscar ayuda en los foros de soporte de WordPress.

La seguridad de tu web es una inversión que vale la pena. No solo estás protegiendo tus datos y los de tus visitantes, sino que estás construyendo una base sólida para el crecimiento de tu presencia online.