El aviso «No seguro» en WordPress: SSL, HTTPS y contenido mixto
Cuando Chrome muestra "No seguro" al lado de la dirección de su sitio, sus visitantes desconfían antes de leer una línea. En WordPress casi siempre tiene una de tres causas: no hay certificado SSL, el certificado venció o el sitio carga parte del contenido por HTTP. Le explicamos cómo identificar cuál es y cómo arreglarlo paso a paso.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Qué significa «No seguro»
«No seguro» quiere decir que la conexión entre el visitante y su sitio no está cifrada: lo que se escribe en un formulario viaja en texto plano. No significa que el sitio tenga virus. Ese es otro aviso, la pantalla roja de «Sitio engañoso», que se resuelve de otra manera. → Quitar el aviso de «Sitio engañoso»
| Lo que ve el visitante | Causa más probable |
|---|---|
| «No seguro» en la barra de direcciones | El sitio carga por HTTP, sin certificado |
| Pantalla «Tu conexión no es privada» (NET::ERR_CERT_DATE_INVALID) | El certificado venció |
| Pantalla «Tu conexión no es privada» (NET::ERR_CERT_COMMON_NAME_INVALID) | El certificado es de otro dominio (por ejemplo, sin el «www») |
| Candado con advertencia, o «parte de esta página no es segura» | Contenido mixto: la página es HTTPS pero carga imágenes o scripts por HTTP |
| Pantalla roja «Sitio engañoso» o «contiene software dañino» | Malware o phishing en el sitio, no un problema de SSL |
Cómo arreglar «No seguro» en WordPress, paso a paso
- 01
Instale un certificado SSL
La mayoría de los hostings con cPanel incluyen certificados gratuitos de Let’s Encrypt (AutoSSL) que se renuevan solos. Verifique en el panel que el certificado cubra el dominio con y sin «www».
- 02
Cambie la dirección del sitio a HTTPS
En Ajustes → Generales, cambie «Dirección de WordPress» y «Dirección del sitio» de
http://ahttps://. Haga antes una copia de seguridad: un error acá puede dejarlo fuera del panel. → Copias de seguridad en WordPress - 03
Reemplace las direcciones viejas en la base de datos
Las imágenes y los enlaces internos siguen guardados con
http://. Con WP-CLI:wp search-replace 'http://sudominio.com' 'https://sudominio.com' --skip-columns=guid. Sin consola, un plugin como Better Search Replace hace lo mismo. - 04
Fuerce la redirección a HTTPS
Que cualquier visita por
http://se redirija ahttps://con una redirección 301, desde el.htaccesso desde el panel del hosting. Así no quedan dos versiones del sitio. - 05
Corrija el contenido mixto
Abra el sitio con las herramientas de desarrollador del navegador (F12, pestaña Consola): cada recurso cargado por HTTP aparece como advertencia. Suelen ser imágenes con la dirección escrita a mano, scripts de terceros o fuentes del tema.
- 06
Active HSTS (opcional)
Un encabezado que le indica al navegador que use siempre HTTPS con su dominio. Actívelo solo cuando todo funcione por HTTPS, porque es difícil de revertir.
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
El atajo: plugins de SSL
Plugins como Really Simple Security (antes Really Simple SSL) detectan el certificado, cambian las direcciones y corrigen el contenido mixto sobre la marcha. Sirven para salir del paso, pero conviene hacer el reemplazo en la base de datos (paso 3): así el sitio no depende de que el plugin esté activo y carga un poco más rápido.
Problemas comunes después de pasar a HTTPS
No puedo entrar al panel
La dirección quedó mal escrita. Se corrige en
wp-config.phpcon las constantesWP_HOMEyWP_SITEURL, o desde la base de datos.Bucle de redirecciones
Pasa cuando hay un proxy o CDN (como Cloudflare) en modo «Flexible». Use el modo «Completo (estricto)».
El certificado vence y no se renueva
Muchas veces porque el dominio apunta a otro servidor o porque un proxy bloquea la validación. Revise la renovación automática.
Formularios o pagos que dejan de funcionar
Algún plugin guardó la dirección vieja en su configuración. Revise los ajustes del plugin de formularios, de la tienda y de la pasarela de pago.
Tipos de certificado SSL: ¿cuál necesita?
| Tipo | Qué valida | Para quién |
|---|---|---|
| Validación de dominio (DV) | Que usted controla el dominio | La gran mayoría de los sitios y tiendas. Let’s Encrypt es DV y gratuito |
| Validación de organización (OV) | Además, que la empresa existe | Empresas que quieren mostrar sus datos en el certificado |
| Validación extendida (EV) | Una verificación más estricta de la empresa | Bancos y entidades financieras. Los navegadores ya no lo destacan en la barra |
| Comodín (wildcard) | Todos los subdominios de un dominio | Sitios con muchos subdominios |
Los tres cifran la conexión de la misma manera. Para una pyme, un certificado DV gratuito que se renueve solo es suficiente.
Cómo pasar a HTTPS sin perder posiciones en Google
- 01
Haga la migración completa de una vez
Certificado, dirección del sitio, reemplazo en la base de datos y redirecciones 301, todo junto. Una migración a medias deja dos versiones del sitio compitiendo.
- 02
Verifique la versión HTTPS en Search Console
Si usa una propiedad de dominio, ya cubre las dos versiones. Si usa propiedades por URL, agregue la de HTTPS.
- 03
Actualice el sitemap y los enlaces internos
El sitemap tiene que listar las direcciones con HTTPS, y los enlaces internos no deberían pasar por una redirección.
- 04
Revise los enlaces externos importantes
Perfiles en redes, Google Business Profile, directorios: actualícelos para que apunten a HTTPS.
Encabezados de seguridad: el paso siguiente
Con HTTPS funcionando, hay encabezados que suman protección sin cambiar nada visible del sitio:
Strict-Transport-Security (HSTS)
Obliga al navegador a usar siempre HTTPS con su dominio.
X-Content-Type-Options
Evita que el navegador interprete un archivo como algo distinto de lo que es.
X-Frame-Options o frame-ancestors
Impide que su sitio se cargue dentro de otro, una técnica usada para engañar clics.
Content-Security-Policy
Define desde qué dominios puede cargar scripts el sitio. Es el más potente contra la inyección de código, y el más delicado de configurar.
Son parte de los controles que revisamos en una auditoría de seguridad web.
Por qué HTTPS es parte de la seguridad (y del SEO)
Protege los datos de sus visitantes
Formularios, accesos y pagos viajan cifrados.
Protege su propio acceso
Su usuario y clave de WordPress también viajan cifrados.
Google lo tiene en cuenta
HTTPS es una señal de posicionamiento, y Chrome advierte a quien escribe en un formulario sin cifrar.
Las pasarelas de pago lo exigen
Una tienda sin HTTPS no puede cobrar con tarjeta.
Seguridad en WooCommerce
HTTPS es una de las capas de la guía de seguridad en WordPress. En nuestra guardia mensual controlamos que el certificado se renueve y que no aparezca contenido mixto con cada actualización.
Servicios relacionados
Preguntas frecuentes
¿Por qué Chrome dice que mi WordPress no es seguro?
Porque la conexión no está cifrada: falta el certificado SSL, venció o la página carga parte del contenido por HTTP.
¿El certificado SSL cuesta dinero?
No necesariamente. Let's Encrypt es gratuito y lo incluyen casi todos los hostings. Los certificados pagos agregan validación de la empresa, pero cifran igual.
Ya tengo SSL y sigue apareciendo "No seguro". ¿Por qué?
Casi siempre es contenido mixto: imágenes, scripts o fuentes cargados por HTTP. Revise la consola del navegador.
¿"No seguro" significa que me hackearon?
No. Es un problema de cifrado de la conexión. Si ve una pantalla roja de "Sitio engañoso", eso sí indica malware o phishing.
¿Pasar a HTTPS afecta mi posicionamiento?
Bien hecho (con redirecciones 301), mejora la confianza y no pierde posiciones. Mal hecho, puede duplicar páginas o romper enlaces.
Más sobre seguridad wordpress
Seguridad en WooCommerce: cómo proteger pagos y datos de clientes
Una tienda WooCommerce tiene todo lo que tiene un sitio WordPress, y además clientes, pedidos y pagos. Eso la vuelve un blanco…
LeerSeguridad en WordPress: guía completa para dueños de sitios
¿WordPress es seguro? El núcleo, sí. Los sitios WordPress que se hackean caen casi siempre por lo que se les agrega encima:…
LeerCómo escanear WordPress en busca de malware
El malware en WordPress casi nunca se ve: el sitio carga bien, a usted no le redirige a ningún lado y el…
Leer¿Su sitio muestra "No seguro"?
Déjenos la dirección. Revisamos el certificado, las redirecciones y el contenido mixto, y le decimos qué corregir.
¿Consulta urgente? WhatsApp 095 283 123