Pregunta a cualquiera qué es un certificado SSL y obtendrás respuestas de todo tipo, desde "lo que hace que funcione HTTPS" hasta "ni idea, pero sé que las webs lo necesitan". Ambas se acercan más a la verdad de lo que parece. Un certificado SSL es la credencial digital que cifra la conexión entre el navegador de un visitante y un servidor web, y se emite específicamente para un nombre de dominio. Afecta a cómo se muestra tu web en los navegadores, a cómo la tratan los buscadores y a si los visitantes confían lo bastante en ella como para quedarse.
¿Qué es un certificado SSL?
Un certificado SSL es un archivo digital instalado en un servidor web que hace dos cosas. Primero, cifra los datos que viajan entre el navegador del visitante y tu servidor, de modo que cualquier información enviada, incluidos los formularios, las credenciales de acceso y los datos de pago, no pueda leerla nadie que intercepte la conexión. Segundo, verifica que el servidor pertenece al dominio al que dice pertenecer, para que los visitantes puedan estar seguros de haber llegado a la web correcta.
SSL significa Secure Sockets Layer. La tecnología se ha ido actualizando con los años y el estándar actual se llama técnicamente TLS (Transport Layer Security), pero el término SSL ha seguido en uso común y la mayoría de las personas, los registradores y los proveedores de hosting siguen llamando certificados SSL a estos certificados, sea cual sea la versión subyacente.
Cuando hay un certificado instalado y válido, los navegadores muestran un icono de candado en la barra de direcciones y cargan la web por HTTPS. Esa "S" al final de HTTP es lo que hace posible SSL. Sin certificado, la conexión no está cifrada, la dirección muestra HTTP simple y los navegadores modernos muestran a los visitantes un aviso de "No seguro".
¿Qué significa HTTPS y cómo lo hace funcionar SSL?
HTTP es el protocolo que usan los navegadores para pedir y recibir páginas web. HTTPS es el mismo protocolo con una capa cifrada encima, proporcionada por un certificado SSL. Cada vez que un visitante carga una página de una web que usa HTTPS, su navegador y el servidor realizan un intercambio rápido de verificación. En él, el navegador comprueba el certificado SSL, confirma que es válido y que se emitió para el dominio correcto, y establece una conexión cifrada. Después, todos los datos entre el visitante y el servidor viajan codificados.
Para los visitantes, esto significa que nada de lo que escriban en un formulario, ninguna página que consulten y ningún dato que la web devuelva a su navegador puede leerlo un tercero que vigile esa conexión. Para los dueños de marcas, significa que la comunicación entre la web y sus visitantes es privada y segura por defecto.
El icono de candado de la barra de direcciones del navegador es la confirmación visible de que HTTPS está activo y el certificado es válido. Un candado verde o gris significa que la conexión está cifrada y el certificado se ha verificado. Un candado roto, un candado tachado o la ausencia de candado significa que la conexión no está cifrada o que hay un problema con el certificado.
¿Cómo se conecta un certificado SSL con tu dominio?
Un certificado SSL se emite para un nombre de dominio concreto. Cuando una autoridad de certificación, que es una organización de confianza que emite y comprueba certificados, firma un certificado, lo vincula a uno o más nombres de dominio. Un certificado emitido para yourbrand.com cubre exactamente ese dominio. No cubre automáticamente la versión con www, las variaciones de subdominio ni ningún otro dominio, salvo que se incluyan de forma expresa en el certificado.
Esta es la conexión directa entre SSL y tu dominio. El certificado no se instala en un servidor genérico. Se emite específicamente para tu nombre de dominio, y el navegador comprueba que el dominio del certificado coincide con el dominio al que intenta llegar el visitante. Si no coinciden, el navegador muestra un aviso de seguridad, aunque el certificado en sí sea válido.
El capítulo anterior sobre proteger tu dominio del secuestro trató las amenazas a nivel de cuenta sobre tu registro. SSL opera en otra capa, protege lo que ocurre durante la conexión y no quién controla el registro del dominio. Entender qué es un nombre de dominio y cómo funciona como dirección de tu web ayuda a ver mejor esta conexión. El dominio es el nombre al que está vinculado el certificado, y tanto el nombre como el certificado tienen que estar en orden para que funcione la conexión segura.
La relación entre tu dominio y el lugar donde se alojan los archivos de tu web también es relevante aquí. Como el certificado se instala en el servidor donde vive tu web, y el dominio apunta a ese servidor, ambos deben estar alineados. El capítulo sobre dominio vs hosting cubre cómo se conectan un nombre de dominio y una cuenta de hosting, que es la misma infraestructura que hace funcionar SSL en la práctica.
¿Qué tipos de certificados SSL hay?
Los certificados SSL tienen tres niveles principales de validación. La diferencia entre ellos es lo a fondo que la autoridad de certificación verifica a la organización que hay detrás del dominio antes de emitir el certificado.
Validación de dominio (DV)
Un certificado de validación de dominio confirma que quien lo solicita controla realmente el dominio. La autoridad de certificación comprueba que tiene acceso a los registros DNS del dominio o a la bandeja de correo asociada. No se verifica la identidad ni la existencia legal de la organización. Los certificados DV se emiten rápido, a menudo de forma automática, y son el tipo más común para sitios personales, blogs y webs de marcas pequeñas. Aparece el candado, la conexión está cifrada y los visitantes ven HTTPS. Para la mayoría de las webs, DV es suficiente.
Validación de organización (OV)
Un certificado de validación de organización incluye una comprobación de la existencia legal y los datos de contacto de la organización solicitante. La autoridad de certificación consulta registros públicos para confirmar que la organización es real y que quien solicita el certificado tiene autoridad para hacerlo. Los certificados OV los usan normalmente marcas y organizaciones consolidadas que quieren un nivel más alto de identidad verificada asociado a su certificado.
Validación extendida (EV)
Un certificado de validación extendida implica el proceso de verificación más exhaustivo. La autoridad de certificación comprueba el registro legal, la dirección física, si la organización opera de forma activa y si quien lo solicita tiene derecho a pedirlo. Los certificados EV se asociaron históricamente a una barra de direcciones verde en los navegadores, aunque la mayoría de los navegadores modernos han dejado de mostrar esa distinción de forma destacada. Son más comunes en entidades financieras y plataformas de comercio electrónico donde la confianza es una prioridad.
Para la web de una marca típica, un certificado DV cubre lo que necesitas. El cifrado y el candado HTTPS son idénticos en los tres tipos. La diferencia está en el nivel de identidad de la organización que se ha verificado y se asocia al certificado.
¿Qué pasa con tu web sin un certificado SSL?
Una web sin certificado SSL se carga por HTTP simple. Para los visitantes, la consecuencia más visible es el aviso del navegador. Chrome y los demás navegadores principales muestran una etiqueta de "No seguro" en la barra de direcciones de cualquier web que no use HTTPS. En páginas con formularios o campos de acceso, los navegadores pueden mostrar un aviso más destacado que desanima activamente a los visitantes a introducir información.
La señal de confianza que esto envía es significativa. Los visitantes que ven una etiqueta de "No seguro" tienen más probabilidades de irse antes de leer nada. Para una web que pide a los visitantes que te contacten, se registren en algo o hagan una compra, la ausencia de SSL afecta directamente a cuántos de ellos siguen adelante.
El impacto en SEO también es real. Google confirmó HTTPS como señal de posicionamiento, lo que significa que las webs con SSL tienen una ventaja medible en los resultados de búsqueda sobre webs equivalentes sin él. La ventaja no es enorme por sí sola, pero combinada con las mayores tasas de rebote que provocan los avisos del navegador, una web sin SSL lucha cuesta arriba en varios frentes. Se trata con más detalle en la sección siguiente.
¿Cómo afecta SSL a tus posiciones en buscadores?
Google usa HTTPS como señal de posicionamiento desde 2014. La señal en sí da un impulso moderado, pero los efectos derivados de no tener SSL suelen ser más importantes que la propia señal. Una web que activa avisos de seguridad del navegador tendrá más rebote, menos tiempo en la web y menos conversiones. Todas esas señales de comportamiento influyen con el tiempo en el rendimiento en buscadores.
Los rastreadores de Google también prefieren indexar las versiones HTTPS de las páginas. Si tu web funciona tanto en HTTP como en HTTPS sin una configuración adecuada, puedes acabar con problemas de contenido duplicado, señales de enlaces divididas y confusión en el rastreo. Tener SSL instalado y bien configurado, con una redirección de HTTP a HTTPS, mantiene todas esas señales concentradas en una sola versión de tu web.
Desde un punto de vista puramente práctico, HTTPS es ahora la expectativa mínima de cualquier web que quiera posicionarse y que los visitantes la tomen en serio. Más que una ventaja competitiva, es el precio de entrada.
¿Cómo se consigue un certificado SSL?
Hay tres formas principales de conseguir un certificado SSL para tu dominio, y la opción adecuada depende de dónde esté alojada tu web y de cómo sea tu configuración de hosting.
A través de tu proveedor de hosting o plataforma web
Si tu web está alojada en una plataforma o con un proveedor de hosting, el camino más directo es a través de ellos. Muchos hostings y plataformas web incluyen SSL como parte de su oferta y se encargan de la instalación automáticamente. Cuando conectas tu dominio a tu cuenta de hosting, el certificado se emite y se configura sin que tengas que hacer nada a mano. Es el camino que causa menos fricción y menos errores de configuración.
A través de tu registrador de dominios
Algunos registradores de dominios ofrecen certificados SSL como complemento del registro. Compras el certificado desde el mismo panel donde está registrado tu dominio y lo instalas en tu servidor o sigues las instrucciones del registrador. El proceso es más manual que conseguir SSL con un hosting que lo automatiza, pero es una opción directa para quienes gestionan su propio servidor. El capítulo sobre cómo registrar un dominio es una referencia útil para entender qué suelen ofrecer los registradores junto con el registro.
SSL gratuito con una autoridad de certificación abierta
Existen autoridades de certificación gratuitas y automatizadas que emiten certificados DV sin coste. Se crearon para que SSL sea accesible a todas las webs de internet, y lo han conseguido. La mayoría de los hostings admiten estas autoridades, de forma nativa o mediante integraciones, y muchos las configuran automáticamente cuando conectas un dominio. Los certificados se renuevan solos cada 90 días, lo que elimina el riesgo de que un certificado caduque y cause avisos en el navegador.
¿Cuándo usar un certificado SSL gratuito y cuándo uno de pago?
Para la mayoría de las webs de marcas, un certificado gratuito de una autoridad abierta cubre todo lo necesario. El cifrado es idéntico al de los certificados de pago. Aparece el candado. El protocolo HTTPS funciona. Los visitantes ven una web segura. Si tu hosting lo admite y lo configura automáticamente, no hay motivo para pagar por un certificado solo para obtener la misma protección de nivel DV.
Los certificados de pago tienen sentido en situaciones concretas. Si necesitas un certificado OV o EV para la verificación de la organización, eso exige un certificado de pago porque las autoridades gratuitas solo emiten DV. Si gestionas una tienda online a gran escala, un servicio financiero o cualquier plataforma donde la identidad de la organización que hay detrás de la web es un factor de confianza relevante para los usuarios, la verificación adicional de OV o EV compensa el coste.
Los certificados de pago también suelen incluir cosas como una garantía, que es un respaldo económico en el improbable caso de que un error del certificado cause un problema de seguridad, y un soporte más detallado. Para la web de una marca pequeña o una web centrada en contenido, estos extras rara vez aportan valor práctico. Para una web con grandes volúmenes de transacciones, la garantía y el acceso al soporte pueden ser relevantes.
Renovación del certificado SSL y qué pasa cuando caduca
Los certificados SSL tienen fecha de caducidad. Los certificados estándar son válidos hasta 13 meses (unos 397 días). Cuando un certificado caduca, los navegadores muestran avisos de seguridad de inmediato a todos los visitantes, por muy bien que se viera la web el día anterior. El candado desaparece, aparece la etiqueta de "No seguro" y los visitantes ven páginas de error destacadas que les avisan de que el certificado de la web ha caducado.
Es una forma rápida de perder la confianza de los visitantes y el tráfico orgánico. Los avisos de caducidad de certificados también los detectan las herramientas de monitorización y pueden activar notificaciones de Search Console o de servicios de monitorización de disponibilidad si los tienes configurados.
La solución práctica es la misma que con la caducidad del dominio. Automatiza la renovación. Los certificados de las autoridades gratuitas se renuevan solos cada 90 días si el hosting ha configurado bien el proceso de renovación. Muchos proveedores de certificados de pago también ofrecen renovación automática. Si gestionas tú mismo tu certificado, pon un recordatorio en el calendario con bastante antelación a la caducidad para tener tiempo de renovar y reinstalar sin ningún hueco de cobertura.
¿Qué es un certificado SSL wildcard?
Un certificado SSL estándar cubre un dominio concreto y, opcionalmente, la versión con www. Un certificado wildcard cubre el dominio raíz y todos sus subdominios a la vez. Un wildcard para yourbrand.com cubriría también shop.yourbrand.com, blog.yourbrand.com, app.yourbrand.com y cualquier otro subdominio que crees, sin necesidad de un certificado aparte para cada uno.
Los certificados wildcard son útiles para marcas que tienen varios servicios o secciones de una web en distintos subdominios. El capítulo sobre dominios propios vs subdominios cubre cuándo tienen sentido los subdominios y cómo se relacionan con tu dominio principal, que es el contexto en el que los certificados wildcard se vuelven relevantes.
Para la web de una marca sencilla que funciona en un solo dominio con su versión con www, un certificado estándar es suficiente. El wildcard es un paso práctico más cuando la estructura de tu dominio incluye varios subdominios activos.
Cómo gestiona WEMASY el SSL
WEMASY incluye SSL en todas las webs alojadas en la plataforma. Cuando conectas un dominio a tu web de WEMASY, se emite y se configura automáticamente un certificado SSL. La redirección a HTTPS se configura por defecto, así que el dominio se resuelve de forma segura sin configuración manual. La renovación del certificado la gestiona la plataforma, así que no hay fecha de caducidad que vigilar ni proceso de renovación que gestionar.
En los dominios registrados o conectados a través de WEMASY, el certificado cubre el dominio que hayas configurado. Consulta qué incluye cada plan en los precios de WEMASY.
Preguntas frecuentes
¿Un certificado SSL protege mi web de ser hackeada?
Un certificado SSL cifra los datos que viajan entre el navegador del visitante y tu servidor. No protege los archivos, la base de datos ni el código de tu web frente al acceso no autorizado. Una web puede tener un certificado SSL válido y seguir siendo vulnerable a ataques dirigidos al servidor, al sistema de gestión de contenidos o a la propia aplicación. SSL cubre un riesgo concreto, la interceptación de datos en tránsito, y nada más. Mantener actualizados tu plataforma y tu software cubre la categoría más amplia de seguridad de la web. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Puedo tener SSL en una página pero no en otras?
No. Un certificado SSL se aplica a todo el dominio, no a páginas individuales. Una vez configurado HTTPS y redirigidas las solicitudes HTTP a HTTPS, todas las páginas del dominio se cargan por una conexión segura. No se puede aplicar el cifrado de forma selectiva a solo algunas páginas del mismo dominio. Algunas webs cargan contenido mixto, es decir, páginas HTTPS que incluyen recursos como imágenes o scripts que aún se cargan por HTTP simple, pero eso es un problema de configuración, no una opción deliberada. Los navegadores lo señalan como un problema de seguridad.
¿Se romperán mis enlaces actuales si paso de HTTP a HTTPS?
Los enlaces externos que apuntan a la versión HTTP de tus URL seguirán funcionando si configuras una redirección 301 correcta de HTTP a HTTPS. Una redirección 301 envía automáticamente a los visitantes y a los buscadores de la dirección HTTP antigua a la versión HTTPS, y conserva así la mayor parte del valor de los enlaces. Sin redirección, los enlaces HTTP llevan a una versión sin cifrar de tu web o a un error, según la configuración de tu servidor. Configurar bien la redirección es un paso estándar en cualquier instalación de SSL.
¿Necesito un certificado SSL aparte para cada extensión de dominio que poseo?
Sí. Un certificado SSL se emite para un dominio concreto. Si tienes yourbrand.com y yourbrand.net como registros separados, cada uno necesita su propio certificado. El certificado de yourbrand.com no se aplica a yourbrand.net. La extensión del dominio forma parte de lo que cubre el certificado. El capítulo sobre qué es una extensión de dominio explica cómo funcionan las TLD como identificadores distintos, lo que ayuda a entender por qué cada dominio necesita su propio certificado.
¿Qué diferencia hay entre SSL y la protección de privacidad del dominio?
Son dos cosas distintas que abordan preocupaciones distintas. SSL cifra la conexión entre el navegador del visitante y tu servidor y protege los datos en tránsito. La protección de privacidad del dominio (privacidad WHOIS) oculta los datos personales de contacto del titular del dominio de la base de datos pública WHOIS, para que tu nombre y tu dirección no sean visibles para nadie que consulte el dominio. Una protege los datos del visitante mientras navega; la otra protege la información personal del titular de las consultas públicas. Vale la pena tener las dos, pero cumplen funciones completamente distintas.
Mi certificado SSL aparece como válido pero los visitantes siguen viendo un aviso de seguridad. ¿Qué lo causa?
La causa más común es el contenido mixto. Ocurre cuando una página HTTPS carga uno o más recursos por HTTP, como una imagen, un script o una hoja de estilos alojados en una URL no segura. El navegador marca la página como insegura porque no todo su contenido está cifrado. Revisa el código fuente de tu web en busca de enlaces o recursos incrustados que empiecen por "http://" en lugar de "https://" y actualízalos a sus versiones seguras. La mayoría de las herramientas para desarrolladores de los navegadores pueden identificar directamente las fuentes de contenido mixto.
El siguiente capítulo trata las redirecciones 301: qué son, cómo funcionan y cuándo necesitas una para mover el tráfico y el valor de los enlaces de una URL a otra.