El certificado SSL de tu web funciona bien para las personas que la visitan. Pero los rastreadores de IA como GPTBot, ClaudeBot y PerplexityBot no consiguen acceder a tu contenido.
La mayoría de las estrategias GEO se centran en robots.txt y la optimización del contenido. Pero antes de que un rastreador de IA pueda leer tu archivo robots.txt, tiene que completar con éxito un handshake HTTPS con tu servidor. Si ese handshake falla, tu contenido es invisible para la IA, por muy bien que lo optimices.
Este artículo explica por qué HTTPS y los certificados SSL son la base de la visibilidad en IA. Verás qué capas de seguridad afectan a los rastreadores, qué errores de SSL bloquean la indexación en IA y cómo comprobar que todas las plataformas de IA principales pueden acceder a tu web.
Qué son HTTPS y los certificados SSL
HTTPS es HTTP con una capa de seguridad añadida. Cuando una persona o un rastreador se conecta a tu web, HTTPS cifra los datos que viajan entre su navegador (o rastreador) y tu servidor con SSL (Secure Sockets Layer) o su sucesor moderno, TLS (Transport Layer Security).
Un certificado SSL es la credencial digital que tu servidor usa para demostrar que es quien dice ser. Contiene el dominio de tu web, la entidad emisora del certificado y una fecha de caducidad. Cuando un rastreador llega a tu web, tu servidor le muestra el certificado como prueba de identidad. El rastreador verifica ese certificado antes de acceder a cualquier contenido.
Este proceso es invisible para quien visita tu web con un navegador moderno: solo ve un candado verde. Pero si tu certificado falta, ha caducado, es autofirmado o no coincide con tu dominio, el handshake falla. Y ese fallo bloquea a los rastreadores por completo.
Por qué los rastreadores de IA necesitan HTTPS para llegar a tu contenido
Los rastreadores de IA hacen solicitudes HTTP igual que Googlebot. Siguen enlaces, descargan páginas y analizan el HTML. Pero a diferencia de algunos rastreadores más antiguos, todas las plataformas de IA modernas (el rastreador de ChatGPT, el de Perplexity y el de Claude) exigen una conexión HTTPS válida antes de intentar leer robots.txt o descargar una sola página.
Esto es lo que ocurre cuando un rastreador de IA visita tu web. Primero intenta establecer una conexión segura con tu dominio mediante TLS. Tu servidor responde con un certificado SSL. El rastreador comprueba que el certificado es auténtico y que coincide con tu dominio. Solo si esa verificación sale bien, el rastreador pasa a pedir tu contenido.
Si tu certificado SSL no es válido o ha caducado, el rastreador se detiene en el segundo paso y nunca descarga tu contenido. Desde su punto de vista, tu web es inaccesible. No lo vuelve a intentar mañana. Marca tu dominio como inaccesible y sigue con otro.
Esto es distinto del SEO tradicional, donde Google reintenta las solicitudes fallidas y acaba indexando el contenido aunque haya habido problemas de conexión temporales. Los rastreadores de IA son más estrictos con los primeros intentos de acceso. Un handshake SSL fallido en la primera solicitud suele significar que no habrá indexación.
Cómo bloquean los problemas de certificado SSL a los rastreadores de IA
No todos los problemas de SSL son evidentes. Un certificado puede estar instalado y aun así no validarse para ciertos rastreadores. Los bloqueos más comunes son:
Certificados caducados
Un certificado que ha pasado su fecha de caducidad no es válido. Los rastreadores lo rechazan al instante. Algunas webs usan certificados de vida muy corta (30 a 90 días) y los renuevan automáticamente. Si la automatización falla, el certificado caduca sin que nadie se dé cuenta y los rastreadores pierden el acceso de inmediato.
Certificados autofirmados
Un certificado autofirmado lo firma tu propio servidor en lugar de una entidad de certificación de confianza. Los navegadores y los rastreadores no confían en ellos, porque cualquiera podría crear uno y hacerse pasar por otra persona. Los certificados autofirmados sirven para desarrollo o redes internas, pero bloquean el acceso de todos los rastreadores públicos.
Dominio que no coincide
Si tu certificado está emitido para example.com pero se accede a la web como www.example.com (o al revés), el dominio del certificado no coincide con el solicitado. Los rastreadores lo rechazan. Cuenta incluso una diferencia pequeña: un certificado SSL para sub.example.com no se validará si el rastreador pide content.example.com.
Problemas en la cadena de certificados
Un certificado SSL forma parte de una cadena que lleva hasta una autoridad raíz. Si tu servidor no está configurado para enviar la cadena completa (tienes el certificado final pero no los intermedios), puede que los rastreadores no logren verificar tu identidad. Algunos son tolerantes e intentan encontrar en internet el certificado intermedio que falta. Otros rechazan la conexión de inmediato.
Problemas de configuración de SNI
Server Name Indication (SNI) permite que un solo servidor aloje varias webs HTTPS identificando qué web está pidiendo el visitante. Si tu servidor no está configurado para SNI o tiene una configuración incorrecta, los rastreadores que piden tu dominio pueden recibir el certificado de otro dominio. Eso hace que la validación falle.
Cabeceras de seguridad que afectan al acceso de los rastreadores de IA
Cuando el handshake SSL sale bien, tu servidor puede enviar cabeceras de seguridad que controlan cómo interactúan los rastreadores con tu contenido. Estas cabeceras no bloquean del todo a los rastreadores, pero afectan a cómo tratan tus páginas.
Strict-Transport-Security (HSTS)
HSTS indica a los rastreadores que usen siempre HTTPS para acceder a tu web y nunca HTTP. Es bueno para la seguridad y no bloquea a los rastreadores. Pero si configuras mal HSTS con una duración muy larga y más tarde pasas a un certificado no válido, los rastreadores quedan obligados a usar HTTPS sin poder completar el handshake. Asegúrate de que tu política HSTS vaya acompañada de certificados válidos durante todo el tiempo que indiques.
X-Frame-Options y X-Content-Type-Options
Estas cabeceras indican a los rastreadores cómo tratar tu contenido. No les impiden descargarlo. Pero pueden afectar a cómo analizan y extraen la información de tus páginas.
Content-Security-Policy
Las cabeceras CSP pueden limitar a qué recursos de tus páginas pueden acceder los rastreadores. Si tienes una CSP muy restrictiva que bloquea recursos externos, puede que los rastreadores no puedan descargar imágenes, hojas de estilo o scripts de tus páginas. Esto no bloquea el HTML en sí, pero limita las señales que los rastreadores pueden extraer.
Errores de SSL comunes y qué significan para la indexación en IA
Cuando un rastreador de IA no logra verificar tu certificado SSL, registra un error. Entender estos errores te ayuda a diagnosticar qué falla. Estos son los más habituales:
Certificado caducado
Tu certificado SSL ha pasado su fecha de caducidad. Los rastreadores ven la fecha en el certificado y lo rechazan. Es el problema más fácil de detectar y arreglar. Revisa la fecha de caducidad de tu certificado y renuévalo antes de que venza.
El certificado no coincide con el dominio
El nombre de dominio del certificado no coincide con el dominio que pide el rastreador. Suele pasar cuando migras a un dominio nuevo y olvidas actualizar el certificado SSL, o cuando añades un subdominio y tu certificado solo cubre el dominio raíz.
No se puede verificar la entidad de certificación
El rastreador no puede rastrear tu certificado hasta una autoridad raíz de confianza. Ocurre si el certificado lo emitió una entidad en la que no se confía o si tu servidor no envió la cadena completa de certificados intermedios.
El certificado está revocado
Tu entidad de certificación ha revocado el certificado por un incidente de seguridad o un error de configuración. Los rastreadores comprueban el estado de revocación y se niegan a acceder. Es poco común, pero grave cuando ocurre.
Cómo comprobar tu configuración HTTPS para los rastreadores de IA
La mejor forma de asegurarte de que los rastreadores de IA pueden acceder a tu web es probarlo tú mismo. Estos pasos de diagnóstico forman parte de una auditoría técnica de GEO más amplia. Así se comprueban los problemas de HTTPS en concreto:
Usa verificadores de SSL online
Las herramientas gratuitas de análisis de SSL hacen una revisión completa de tu configuración. Comprueban la validez del certificado, que la cadena esté completa, las versiones de TLS compatibles y las vulnerabilidades conocidas. Pasa tu dominio por una de ellas y corrige los errores que indique.
Prueba con curl o wget
Desde una terminal, ejecuta curl -I https://yourdomain.com o usa wget con la opción spider sobre https://yourdomain.com. Estas herramientas imitan lo que hace un rastreador. Si fallan con un error de SSL, los rastreadores también fallarán. El mensaje de error te dice exactamente qué va mal.
Comprueba con OpenSSL
OpenSSL es la herramienta estándar para diagnosticar SSL. Ejecuta openssl s_client -connect yourdomain.com:443 para ver exactamente qué certificado presenta tu servidor y si se valida correctamente.
Verifica que la cadena de certificados esté completa
Usa una herramienta de diagnóstico de SSL para comprobar si tu servidor envía la cadena completa de certificados. Si faltan certificados intermedios, añádelos a la configuración de tu servidor.
Prueba en distintas plataformas de IA
Algunos rastreadores de IA son más estrictos que otros con la validación de SSL. Prueba tu web pidiendo a ChatGPT, Perplexity, Claude y Google Gemini una respuesta que incluya tu contenido. Si una plataforma no puede acceder a tu web, consulta la documentación de su rastreador por si exige algún requisito de SSL. Cada plataforma de IA tiene un comportamiento distinto, y puedes saber más en nuestras guías de optimización para la búsqueda de ChatGPT y de optimización para la plataforma Perplexity.
Cómo gestiona WEMASY el SSL y la seguridad para que los rastreadores accedan
Toda web creada con WEMASY incluye HTTPS automático con un certificado SSL válido emitido por una entidad de confianza. Tu certificado se activa, se renueva y se supervisa de forma automática. No tienes que gestionar fechas de caducidad ni ciclos de renovación.
WEMASY también configura tu certificado para que cubra tanto tu dominio raíz como el subdominio www, lo que evita errores de dominio que no coincide. La cadena de certificados completa se envía automáticamente para que los rastreadores puedan verificar tu identidad sin errores.
Tus cabeceras HSTS se configuran con una duración razonable, de modo que se mantiene la seguridad sin crear un problema de arranque si necesitas cambiar de certificado. Descubre más sobre las funciones de seguridad y rendimiento incluidas en cada plan de WEMASY.
Preguntas frecuentes
¿Los rastreadores de IA admiten tanto HTTPS como HTTP?
No. Todos los rastreadores de IA principales (GPTBot, ClaudeBot, PerplexityBot) exigen HTTPS en exclusiva. No admiten HTTP. Una web que funciona con HTTP no es accesible para los rastreadores de IA. Si tienes una web antigua que sigue en HTTP, migra a HTTPS cuanto antes. HTTPS es obligatorio para el acceso de los rastreadores de IA. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Un certificado SSL comodín sirve para todos los subdominios?
Sí. Un certificado comodín (*.example.com) cubre cualquier subdominio de tu dominio raíz. Si tienes subdominios como api.example.com o blog.example.com, un certificado comodín los cubre todos. Eso sí, un certificado comodín no cubre el propio dominio raíz (example.com) salvo que se incluya de forma explícita. Comprueba que tu certificado comodín cubra tanto el comodín como el dominio raíz.
¿Los rastreadores de IA siguen las redirecciones de HTTP a HTTPS?
La mayoría sí. Si tu servidor redirige las solicitudes HTTP a HTTPS (una configuración habitual), los rastreadores de IA siguen la redirección y continúan con la conexión HTTPS. Sin embargo, esto añade un paso extra y consume más recursos del rastreador. Lo mejor es desactivar HTTP por completo y aceptar solo conexiones HTTPS. Así no hay coste de redirección ni rastreadores que lleguen a una versión sin cifrar de tu web.
¿Cada cuánto debo renovar mi certificado SSL?
Los certificados SSL modernos suelen durar un año. La mayoría de los proveedores de hosting y plataformas (WEMASY incluido) gestionan la renovación de forma automática. No necesitas renovar a mano, salvo que tengas una configuración de hosting muy antigua. Pon un recordatorio en el calendario 30 días antes de la caducidad por si acaso, pero la renovación automática debería evitar por completo los problemas de caducidad.
¿Un certificado SSL en mal estado perjudica mi posicionamiento SEO?
Sí. Google exige HTTPS y considera de menor calidad las webs sin HTTPS válido. Un certificado SSL caducado o no válido se trata como una web HTTP, y se penaliza en el posicionamiento. Para la visibilidad en IA, la penalización es aún más severa, porque los rastreadores de IA no pueden acceder en absoluto con un certificado caducado. No indexarán tu contenido por muy bien optimizado que esté.
¿Puedo usar un certificado autofirmado en una web en producción?
No. Todos los rastreadores y navegadores principales rechazan los certificados autofirmados. Solo son adecuados para desarrollo, pruebas o redes internas donde controlas todos los clientes que se conectan al servidor. Para cualquier web pública, usa un certificado emitido por una entidad de certificación (CA) de confianza. La mayoría de las CA ofrecen certificados muy baratos o gratuitos para un uso básico.