Añadir SSL a WordPress: Guía Paso a Paso (Gratis y Seguro)

¿Tu sitio WordPress sigue mostrando el candado roto o el temido "No seguro" en el navegador? No te preocupes, es mucho más fácil de solucionar de lo que parece. En esta guía completa, paso a paso, te voy a enseñar cómo añadir un certificado SSL a WordPress desde cPanel, activar HTTPS y dejar tu web blindada y con la confianza de tus visitantes por las nubes.

A lo largo de este artículo, cubriremos desde qué es exactamente un SSL hasta cómo solucionar los problemas más comunes después de activarlo. Usaremos herramientas gratuitas como Let's Encrypt y trucos de configuración que te harán parecer un profesional. Vamos a ello.

¿Por qué necesitas un Certificado SSL en WordPress?

Antes de ensuciarnos las manos con cPanel, es crucial entender el "por qué". Un certificado SSL (Secure Sockets Layer) crea un canal cifrado entre el navegador del visitante y tu servidor. Esto significa que cualquier dato que se transmita (contraseñas, números de tarjeta, mensajes) viaja como un código ilegible para los curiosos.

Aquí tienes las tres razones de oro para activar SSL WordPress hoy mismo:

Seguridad real: Proteges a tus usuarios y a ti mismo de intercepciones maliciosas (ataques de tipo "man-in-the-middle").
Confianza del usuario: El candado en la barra de direcciones es una señal de legitimidad. Sin él, muchos usuarios abandonarán tu sitio inmediatamente.
Posicionamiento SEO: Google confirma que HTTPS es un factor de ranking. Un sitio con certificado SSL cPanel configurado tiene ventaja competitiva sobre uno que no lo tiene.

Requisitos previos antes de empezar

Para este tutorial, necesitas:

Acceso a cPanel de tu hosting. Normalmente se accede a través de tudominio.com/cPanel o cpanel.tudominio.com.
Credenciales de administrador de WordPress (para activar la opción de forzar HTTPS después).
Un dominio apuntando a tu servidor (sin redirecciones raras).

[INFO] Si tu hosting usa Syspanel (antes conocido como HestiaCP), el acceso se realiza por el puerto 2106 (ej: https://tudominio.com:2106). Los pasos para instalar el SSL son muy similares, pero la interfaz varía ligeramente.

Paso 1: Instalar el Certificado SSL en cPanel (Let's Encrypt)

La mayoría de los hostings modernos integran Let's Encrypt directamente en cPanel. Es gratuito, automático y se renueva solo. Esta es la vía más rápida y recomendada para obtener tu certificado SSL cPanel.

Sigue estos pasos:

Inicia sesión en tu cPanel.
Busca la sección "Seguridad" o "Security".
Haz clic en el icono "SSL/TLS Status" o "Estado SSL/TLS".
Verás una lista de todos tus dominios y subdominios. Busca el dominio principal (sin www y con www).
Haz clic en el botón "Run AutoSSL" o "Ejecutar AutoSSL" (a veces aparece como "Provisión").
Espera unos segundos (o minutos, dependiendo del servidor). El sistema generará el certificado automáticamente.

[TIP] Si no ves la opción AutoSSL, busca "Let's Encrypt" en la barra de búsqueda de cPanel. Algunos hostings lo tienen como módulo independiente. Si no lo encuentras, contacta con tu proveedor de hosting.

Paso 2: Forzar HTTPS en WordPress (La parte crítica)

Instalar el certificado es solo la mitad del trabajo. Ahora necesitas que WordPress use la versión segura (HTTPS) y no la antigua (HTTP). Si no haces esto, tendrás un "SSL mixto" (contenido mixto) y el candado seguirá apareciendo roto.

Aquí tienes el método más fiable y sin tocar código, usando un plugin:

Opción A: Usar un Plugin (Recomendado para novatos)

Ve a tu escritorio de WordPress.
Navega a Plugins → Añadir nuevo.
Busca "Really Simple SSL".
Instálalo y actívalo.
Al activarlo, el plugin detectará tu certificado y te preguntará si quieres activar SSL. Haz clic en "Go ahead" o "Continuar".
El plugin se encargará de forzar HTTPS, redirigir todo el tráfico y arreglar el contenido mixto.

[WARNING] Realmente Simple SSL es una maravilla, pero a veces puede causar bucles de redirección si la configuración del servidor es rara. Si te pasa, desactiva la opción "Bloquear contenido mixto" o revisa el apartado de "Ajustes" del plugin.

Opción B: Método Manual (Sin plugins)

Si prefieres no usar plugins, edita tu archivo wp-config.php:

Accede a tu hosting por cPanel → Administrador de archivos.
Ve a la carpeta public_html.
Busca el archivo wp-config.php.
Haz clic derecho → Editar.
Añade estas líneas justo antes de la línea que dice /* That's all, stop editing! Happy publishing. */:

define('FORCE_SSL_ADMIN', true);

if (strpos($_SERVER['HTTP_X_FORWARDED_PROTO'], 'https') !== false) {
    $_SERVER['HTTPS'] = 'on';
}

Guarda el archivo.

Paso 3: Actualizar URLs en la base de datos (Evitar errores)

WordPress guarda las URLs en la base de datos. Si tu sitio se cargó con HTTP durante meses, todas las imágenes, enlaces y recursos internos apuntarán a HTTP. Esto es lo que causa el famoso "contenido mixto".

Puedes solucionarlo con un plugin como Better Search Replace (muy recomendado) o desde phpMyAdmin.

Con Better Search Replace:

Instala y activa el plugin.
Ve a Herramientas → Better Search Replace.
En "Buscar", escribe: http://tudominio.com
En "Reemplazar por", escribe: https://tudominio.com
Selecciona todas las tablas de la base de datos.
Marca la casilla "Dry Run" (Ejecución de prueba) para ver cuántos cambios hará.
Si el resultado es correcto, desmarca "Dry Run" y ejecuta.

[INFO] Este proceso también sirve si cambias de dominio o de HTTP a HTTPS en cualquier otro CMS.

Paso 4: Redirección 301 desde HTTP a HTTPS

Ahora que tu sitio ya funciona con HTTPS, necesitas que cualquier persona que escriba http:// sea redirigida automáticamente a https://. Esto se hace con una regla en el archivo .htaccess (en la raíz de tu WordPress).

Añade este código al principio del archivo .htaccess:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

[WARNING] Antes de editar .htaccess, descarga una copia de seguridad. Un error aquí puede tumbar tu web. Si no lo ves claro, el plugin Really Simple SSL lo hace automáticamente por ti.

Paso 5: Verificar que todo funciona correctamente

Después de todos los pasos, es hora de la prueba de fuego.

Abre tu sitio en una ventana de incógnito (para evitar caché).
Escribe http://tudominio.com y presiona Enter. Deberías ser redirigido automáticamente a https://tudominio.com.
Haz clic en el candado de la barra de direcciones. Debería decir "Conexión segura".
Pulsa F12 (o clic derecho → Inspeccionar) y ve a la pestaña "Console". Si no hay errores de "Mixed Content", estás listo.

Solución de problemas comunes (FAQ)

Aquí tienes las dudas más habituales que me encuentro en el soporte técnico:

1. "Mi sitio da error ERR_TOO_MANY_REDIRECTS"

Esto ocurre cuando hay un conflicto de redirecciones (por ejemplo, tu hosting redirige a HTTPS y tu WordPress también). Solución: Desactiva la redirección forzada de tu hosting temporalmente o usa el método manual del wp-config.php que te enseñé arriba, en lugar de las reglas .htaccess.

2. "El candado aparece pero con una advertencia amarilla"

Es contenido mixto. Alguna imagen o script sigue cargándose desde HTTP. Vuelve a ejecutar el plugin Better Search Replace y asegúrate de que en tu código no haya URLs hardcodeadas con http://.

3. "¿Cuánto tarda en renovarse Let's Encrypt?"

Los certificados de Let's Encrypt duran 90 días. cPanel los renueva automáticamente en segundo plano. Si usas Syspanel (HestiaCP), la renovación automática también está integrada. No tienes que hacer nada manualmente.

4. "¿Necesito un SSL de pago si tengo Let's Encrypt?"

Para el 99% de los sitios web, Let's Encrypt es más que suficiente. La diferencia es que los SSL de pago (como los de Comodo o Sectigo) ofrecen un seguro de garantía y, a veces, una validación de empresa (OV/EV) que muestra el nombre de tu empresa en el candado. Para un blog o tienda pequeña, Let's Encrypt es perfecto.

Conclusión y checklist final

Ya has dado el paso más importante para la salud de tu web. Activar SSL WordPress no solo te protege a ti, sino que mejora tu reputación y te posiciona mejor en Google.

Aquí tienes tu checklist final para asegurarte de que no te dejas nada:

Certificado SSL instalado desde cPanel (AutoSSL o Let's Encrypt).
WordPress forzado a HTTPS (con plugin o manualmente).
URLs actualizadas en la base de datos (sin contenido mixto).
Redirección 301 activa en .htaccess.
Verificado en ventana de incógnito y en la consola del navegador.

Si has llegado hasta aquí, enhorabuena, tu sitio ya es de los "buenos". Si te ha surgido alguna duda más específica, déjala en los comentarios y te echaré un cable. ¡Nos leemos!