Pasar una web de HTTP a HTTPS cambia una letra en la barra de direcciones y lo cambia todo sobre cómo se mueven los datos entre el sitio y sus visitantes. HTTPS, siglas de Hypertext Transfer Protocol Secure, es la versión cifrada del protocolo que usan las webs para enviar y recibir datos. Afecta al posicionamiento, influye en cómo muestran tu sitio los navegadores a los visitantes y determina si la información personal enviada desde tus páginas está protegida o expuesta en tránsito. Saber exactamente qué hace HTTPS, y qué no hace, marca la diferencia entre una configuración realmente segura y una que solo lo parece.
HTTP es la base de la comunicación de datos en la web. Cada vez que un navegador pide una página y el servidor la entrega, ese intercambio ocurre por HTTP. El problema es que HTTP sin cifrar transmite los datos en texto plano. Cualquiera con acceso al tráfico de red entre el navegador y el servidor puede leer lo que se envía. HTTPS lo resuelve añadiendo cifrado a esa misma comunicación mediante un certificado SSL. Para una explicación completa de cómo funcionan los certificados SSL, lee el artículo sobre qué es un certificado SSL y cómo funciona.
¿Cuál es la diferencia entre HTTP y HTTPS?
Cómo viajan los datos
- HTTP transmite los datos como texto plano. Un formulario enviado por HTTP manda lo que escribe el visitante por las redes en un formato que se puede leer si se intercepta
- HTTPS cifra los datos antes de que salgan del navegador y solo los descifra cuando llegan al servidor. Los datos interceptados son ilegibles sin la clave de descifrado
- Esta diferencia es invisible para los visitantes en el uso normal, pero determina si los datos que envían están protegidos o expuestos en tránsito
Qué muestran los navegadores a los visitantes
- Los sitios servidos por HTTPS muestran un icono de candado en la barra de direcciones del navegador, que indica que la conexión es segura
- Los sitios servidos por HTTP muestran una etiqueta "No seguro". En las páginas con campos de entrada, algunos navegadores muestran un aviso más destacado
- Los visitantes que ven la etiqueta "No seguro" antes de enviar un formulario o hacer una compra tienen menos probabilidades de seguir adelante
El papel del certificado SSL
- HTTPS requiere un certificado SSL instalado en el servidor. El certificado es lo que hace posibles las conexiones cifradas
- Sin un certificado válido, el navegador no puede establecer una conexión segura y muestra un aviso en lugar de cargar la página con normalidad
- El certificado también verifica la identidad de la web y confirma que el dominio pertenece a la organización que dice representar
¿Cómo protege HTTPS los datos de tus visitantes?
Cuando un visitante se conecta a una web HTTPS, el navegador y el servidor establecen un canal cifrado mediante un proceso llamado TLS handshake. Todos los datos intercambiados a partir de ese momento van cifrados durante toda la sesión.
Qué protege HTTPS
- Los envíos de formularios de contacto, incluidos nombres, correos electrónicos y contenido de los mensajes
- Las credenciales de acceso, incluidos los nombres de usuario y las contraseñas escritos en tu sitio
- La información de pago, incluidos los números de tarjeta y los datos de facturación en las páginas de pago
- Las búsquedas escritas en los campos de búsqueda del sitio
Qué no protege HTTPS
- HTTPS cifra los datos en tránsito, pero no protege los datos una vez guardados en el servidor. Una filtración de la base de datos es un problema de seguridad distinto que HTTPS no evita
- HTTPS no hace que una web sea inmune a otros ataques. La inyección SQL, el cross-site scripting y los ataques de fuerza bruta apuntan a la propia web y no a los datos en tránsito
- HTTPS es una parte de una postura de seguridad más amplia, no una solución completa por sí sola
Para una visión más amplia de las amenazas que enfrentan las webs y cómo abordarlas, lee el artículo sobre por qué es importante la seguridad web.
¿Cómo afecta HTTPS al posicionamiento en buscadores?
HTTPS es una señal de posicionamiento confirmada. Los buscadores lo usan como uno de los factores al evaluar las páginas, y los sitios sin HTTPS quedan en desventaja frente a páginas equivalentes servidas de forma segura.
HTTPS como señal directa de posicionamiento
- Las páginas servidas por HTTPS tienen ventaja de posicionamiento sobre páginas HTTP por lo demás idénticas
- Entre páginas que compiten muy de cerca, HTTPS puede ser el factor que decide cuál aparece más arriba
La conexión con la experiencia de página
- HTTPS es un componente de las señales de experiencia de página que los buscadores _blocked_úan junto con los Core Web Vitals al valorar las páginas
- Una página que no cumple el requisito de HTTPS no satisface del todo los criterios de experiencia de página, lo que afecta a cómo se trata frente a las páginas que sí los cumplen
- Para ver en detalle qué miden los Core Web Vitals y cómo entran en la evaluación de la experiencia de página, lee el artículo sobre qué son los Core Web Vitals
Avisos en los resultados de búsqueda
- Si un sitio se marca por problemas de seguridad, los buscadores pueden añadir avisos a su resultado o reducir su visibilidad por completo
- Un sitio servido por HTTP que además tiene otros problemas de seguridad puede sufrir reducciones acumuladas de visibilidad en los buscadores
Precisión de los datos de referencia
- Cuando un visitante hace clic en un enlace de un sitio HTTPS hacia un sitio HTTP, se elimina la fuente de referencia y la visita aparece como tráfico directo en la analítica
- Los sitios que funcionan con HTTP pierden datos de referencia precisos de las fuentes HTTPS, lo que dificulta medir el rendimiento del marketing
- Las referencias de HTTPS a HTTPS pasan correctamente toda la información de referencia
¿Qué implica pasar una web a HTTPS?
Conseguir un certificado SSL
- HTTPS requiere un certificado SSL instalado en el servidor. En las webs alojadas en plataformas que incluyen certificados, esto ocurre automáticamente
- En los sitios con servidores propios, hay que obtener un certificado de una autoridad de certificación e instalarlo a mano
Actualizar los enlaces internos y las referencias a recursos
- Tras activar HTTPS, todos los enlaces internos y las referencias a recursos (imágenes, scripts, hojas de estilo) del sitio deben apuntar a URL HTTPS
- Las páginas que cargan recursos por HTTP mientras la propia página se sirve por HTTPS provocan avisos de contenido mixto, que pueden anular el beneficio de seguridad y causar avisos en el navegador
Configurar las redirecciones
- Una redirección de HTTP a HTTPS asegura que quien llegue a la versión HTTP pase automáticamente a la versión segura
- Sin redirección, el sitio tiene en la práctica dos versiones de cada página, lo que crea problemas de contenido duplicado y reparte entre ellas las señales de enlaces
Actualizar el sitemap y los ajustes de Search Console
- Tras pasar a HTTPS, actualiza tu sitemap XML con las URL HTTPS y vuelve a enviarlo a los buscadores
- Si usas una cuenta de Search Console, añade la versión HTTPS de tu sitio como propiedad aparte y verifícala
Para una guía completa sobre cómo proteger tu web más allá de HTTPS, lee el artículo sobre cómo proteger tu web de los hackers.
Cómo gestiona WEMASY HTTPS
Todas las webs creadas con WEMASY se sirven por HTTPS por defecto. Los certificados SSL están incluidos en todos los planes y se activan automáticamente al crear un sitio. No hay una configuración aparte, ni un certificado que comprar, ni un proceso de renovación que gestionar.
Los enlaces internos, los recursos y todo el contenido servido a través de la plataforma usan URL HTTPS por defecto. Los avisos de contenido mixto no son un problema en las webs alojadas en WEMASY, porque la plataforma aplica HTTPS en todo. Las redirecciones de HTTP a HTTPS también se gestionan a nivel de plataforma, así que los visitantes y los buscadores siempre van a la versión segura del sitio.
Mira qué incluye en el creador de webs de WEMASY o consulta los planes en la página de precios.
Preguntas frecuentes
¿Qué significa HTTPS?
HTTPS son las siglas de Hypertext Transfer Protocol Secure. Es la versión cifrada de HTTP, el protocolo que se usa para transferir datos entre un navegador y un servidor web. La "S" indica que la conexión está protegida con un certificado SSL, que cifra los datos en tránsito para que no se puedan leer si se interceptan. Una web que funciona con HTTPS muestra un candado en la barra de direcciones del navegador. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿HTTPS es obligatorio para todas las webs?
Sí. HTTPS es necesario para toda web de acceso público, no solo para las que procesan pagos o tratan datos sensibles. Los navegadores muestran una etiqueta "No seguro" en los sitios HTTP, lo que reduce la confianza de los visitantes. HTTPS también es una señal de posicionamiento confirmada, así que los sitios HTTP quedan en desventaja en los resultados de búsqueda. Cualquier web que recoja información de los visitantes mediante formularios, comentarios o inicios de sesión debería servirse como mínimo por HTTPS.
¿HTTPS mejora el SEO?
Sí, de forma directa. HTTPS es una señal de posicionamiento confirmada, y las páginas servidas por HTTPS tienen ventaja de posicionamiento sobre páginas HTTP equivalentes. HTTPS también es un componente de las señales de experiencia de página que los buscadores _blocked_úan junto con los Core Web Vitals. Más allá del posicionamiento, el tráfico de referencia de HTTPS a HTTPS pasa a la analítica todos los datos de la fuente, mientras que los sitios HTTP pierden la información de la fuente de referencia de los orígenes HTTPS.
¿Cuál es la diferencia entre HTTP y HTTPS?
HTTP transmite los datos como texto plano, es decir, los envíos de formularios, las credenciales de acceso y otros datos viajan por la red en un formato legible. HTTPS cifra esos datos antes de que salgan del navegador para que solo pueda leerlos el servidor previsto. HTTPS también autentica la web mediante un certificado SSL, que confirma que el sitio es quien dice ser. Los navegadores marcan los sitios HTTP como "No seguro" y muestran un candado en los sitios HTTPS.
¿Puede un sitio tener páginas HTTP y HTTPS a la vez?
Técnicamente sí, pero crea problemas. Los buscadores pueden indexar las dos versiones y tratarlas como contenido duplicado. Las señales de enlaces se reparten entre las dos versiones en lugar de concentrarse en una. Los visitantes pueden acabar en la versión sin protección si las redirecciones no están bien configuradas. Las páginas que cargan recursos por HTTP mientras la página se sirve por HTTPS provocan avisos de contenido mixto. Lo correcto es servir todas las páginas por HTTPS y redirigir todas las URL HTTP a sus equivalentes HTTPS.
¿HTTPS protege mi web de los hackers?
HTTPS protege los datos en tránsito entre el navegador y el servidor. No protege contra otros tipos de ataques, como la inyección SQL, el cross-site scripting o los intentos de inicio de sesión por fuerza bruta, que apuntan a la propia web y no a los datos en tránsito. HTTPS es una medida de seguridad básica esencial, pero funciona junto a otras protecciones y no las sustituye.