¿Qué es un certificado SSL y por qué tu web lo necesita sí o sí?

El candado junto a la dirección de una web es, sin exagerar, el requisito más barato y más ignorado del proyecto web principiante: cuesta 0 dólares, se activa en cinco minutos y aun así me llegan webs sin él — o con él a medias, que es casi peor, porque el “No seguro” del navegador aparece justo en el peor momento posible. Te explico qué hace exactamente un certificado SSL, por qué Google y tus visitantes lo exigen, cómo tenerlo gratis y cómo comprobar que quedó bien de verdad.

SSL en una frase

Un certificado SSL/TLS hace dos cosas: cifra la comunicación entre el navegador del visitante y tu servidor (nadie puede leer los datos en el camino), y identifica tu web (demuestra que tu servidor es quien dice ser, no una imitación). El resultado visible: la dirección pasa de http:// a https:// y aparece el candado.

Sin SSL, los datos (contraseñas, formularios, pagos, cookies de sesión) viajan en texto plano que cualquiera en la ruta — el wifi del aeropuerto incluido — puede leer o manipular. Con SSL, son un galimatías indescifrable. Y el matiz que poca gente entiende: no se trata solo de “que no lean tu formulario de contacto” — sin cifrado, un atacante en la red puede modificar lo que tu web entrega: inyectar código, cambiar un enlace de descarga, redirigir el login a una copia falsa. HTTPS no solo es privacidad; es integridad.

Por qué ya no es opcional

1. Chrome castiga el HTTP: desde 2018, el navegador más usado del mundo muestra “No seguro” en toda web sin HTTPS — y con especial crudeza en páginas con formularios. Ese aviso junto a tu URL mata la confianza en un vistazo: el visitante no sabe técnica, sabe que su navegador le está diciendo que algo huele mal.
2. Google lo pondera en el ranking: HTTPS es factor de posicionamiento confirmado desde 2014. Es un factor menor — no vas a subir del puesto 12 al 3 por el candado — pero gratuito y universal: no regalarlo es dejar puntos en la mesa frente a competidores que sí lo tienen.
3. Las pasarelas de pago lo exigen: Stripe, PayPal o cualquier checkout serio requieren HTTPS. Sin SSL no hay comercio online, fin. Es prerrequisito número uno de la guía de WooCommerce.
4. Formularios y logins: aunque tu web no venda nada, un formulario de contacto viaja cifrado o no viaja privado; y si tu WordPress tiene login (lo tiene), la contraseña de administrador viaja en claro sin HTTPS. Piénsalo: el dato más valioso de toda tu web es la clave que abre la puerta de todo tu web.

Cómo conseguirlo gratis: Let’s Encrypt

Let’s Encrypt es la autoridad de certificación sin ánimo de lucro que cambió el sector: emite certificados válidos y gratuitos que se renuevan automáticamente cada 90 días. En 2026 esto significa que todos los hostings serios incluyen SSL gratuito — en compartido, VPS gestionado y cloud. El proceso típico:

1. Entra al panel de tu hosting (cPanel, Site Tools, hPanel…).
2. Busca la sección “SSL” o “Seguridad”.
3. Activa Let’s Encrypt para tu dominio y marca “forzar HTTPS”.
4. Listo: tu web sirve en HTTPS con renovación automática.

Y una nota honesta sobre el “cada 90 días”: suena a mantenimiento pesado, pero la renovación es automática en todos los hostings que vale la pena tener — nunca tienes que hacer nada. El único escenario donde se caduca un SSL es un hosting abandonado o mal configurado, y si eso te pasa, tienes un problema mayor que el certificado.

¿Y los certificados de pago?

Los tres tipos que te van a ofrecer, explicados sin marketing:

Tipo	Qué certifica	Precio típico	Para quién
DV (validación de dominio)	Que controlas el dominio	Gratis (Let’s Encrypt) o ~10-50 $/año	El 95% de las webs: blogs, negocios, tiendas
OV (validación de organización)	Dominio + empresa verificada	50-200 $/año	Corporativo, intranets
EV (validación extendida)	Máxima verificación legal	150-400+ $/año	Bancos, fintech (y ya sin barra verde: los navegadores la retiraron)

El detalle que vende los EV — la barra verde en el navegador — ya no existe: todos los navegadores la eliminaron años atrás. Hoy, pagar 300 dólares por un certificado compra burocracia, no candados más grandes. Para tu proyecto: Let’s Encrypt y a otra cosa. Es una de las razones por las que, en la comparativa de mejores hostings, un SSL incluido y forzado es criterio eliminatorio — y por las que un hosting que te cobre el SSL aparte (hay alguno, sí) te está avisando de su modelo de negocio.

El error clásico: contenido mixto

Instalar el certificado no siempre es el final. Si tu web sigue llamando recursos por HTTP (una imagen antigua, un script, un iframe, una fuente), el navegador marca “No seguro” igualmente: es el famoso contenido mixto. Suele ocurrir al migrar una web vieja a HTTPS. Solución:

• Busca y actualiza las URLs http:// internas — en WordPress, los plugins Really Simple SSL o Better Search Replace lo automatizan tocando la base de datos.
• Los recursos externos que solo existan en HTTP: cámbialos o elimínalos.
• Comprueba en la consola del navegador (F12 → Consola) que no queden avisos; y si quieres una auditoría seria, la herramienta gratuita SSL Labs (ssllabs.com/ssltest) te da nota A+ a F del certificado y la configuración.

Checklist de 2 minutos para tu web

• https:// carga sin avisos
• El candado aparece en todas las páginas, no solo en la portada
• http:// redirige automáticamente a HTTPS (redirect 301, sin cadena de redirecciones dobles)
• Tu sitemap y Search Console apuntan a la versión HTTPS
• (Opcional) HSTS activado: le dice a los navegadores que nunca intenten HTTP con tu dominio

Veredicto

SSL gratuito, instalación de un clic y ventaja en SEO: no hay excusa racional para una web sin candado en 2026. Si tu hosting no lo ofrece o lo cobra aparte, eso es una señal para cambiar de hosting, no para pagar el extra. Y si vas a montar tienda, esto es prerrequisito absoluto: empieza por la guía de WooCommerce.

Transparencia: este análisis es independiente; no contiene enlaces comerciales.