El candado del navegador: qué es el certificado SSL y qué protege (y qué no)

El certificado SSL cifra lo que viaja entre tus clientes y tu sitio. Qué es, por qué Google lo exige, qué no garantiza y cómo saber si tu sitio lo tiene bien configurado.

Cuando la dirección de un sitio empieza con https://, la información que viaja entre el visitante y el sitio va cifrada. Lo hace posible un certificado SSL (hoy su nombre técnico es TLS, pero todos le seguimos diciendo SSL). Es lo que durante años se mostró como un candado junto a la dirección.

Qué protege

• Lo que escriben tus clientes: los datos de un formulario de contacto, una contraseña o un pedido viajan cifrados y nadie en el camino puede leerlos.
• Lo que ven: nadie puede modificar tu sitio en el camino, por ejemplo para meter publicidad o enlaces falsos en una red wifi pública.
• Que el sitio sea el del dominio: el certificado se emite para tu dominio, y el navegador comprueba que coincida.

Qué no protege

• No dice que el sitio sea confiable. Los sitios falsos también tienen certificado; solo indica que la conexión con ese sitio es privada.
• No protege el sitio de un hackeo. Si el sitio está desactualizado o tiene contraseñas débiles, el certificado no lo evita.
• No protege tu correo. El correo tiene su propio cifrado (los puertos seguros 993, 995 y 465) y su propia configuración.

Por qué tu sitio lo necesita

• Chrome, Edge, Firefox y Safari marcan como «No seguro» a los sitios sin HTTPS, y eso espanta a los visitantes.
• Google lo considera al ordenar los resultados de búsqueda.
• Sin HTTPS, muchas funciones del navegador no están disponibles (la ubicación, la cámara o las notificaciones).
• Hoy existen certificados gratuitos, como los de Let's Encrypt, que se renuevan solos. No hay motivo para no tenerlo.

En Chrome, el candado se cambió por un ícono de ajustes, pero la conexión sigue siendo HTTPS. Lo importante es que no aparezca «No seguro».

Cómo saber si tu sitio lo tiene bien configurado

1. Escribe tu dominio sin https (por ejemplo, tuempresa.com): debería pasar solo a https://tuempresa.com.
2. Prueba también con www delante: debe llevar a la misma dirección, sin avisos.
3. Haz clic en el ícono junto a la dirección: debe decir que la conexión es segura y mostrar un certificado vigente para tu dominio.
4. Revisa varias páginas: si alguna muestra el aviso de contenido no seguro, tiene imágenes o archivos que todavía se cargan con http.

Errores comunes

• Certificado vencido: el sitio muestra una pantalla de advertencia que la mayoría de los visitantes no se atreve a pasar. Ocurre cuando la renovación automática falla.
• Certificado de otro dominio: por ejemplo, válido para tuempresa.com pero no para www.tuempresa.com.
• El sitio sigue abriendo sin https: el certificado está instalado, pero falta redirigir todo el tráfico a la versión segura.

En todos nuestros planes el certificado SSL está incluido, se instala al publicar el sitio y se renueva solo.