Un sitio WordPress que carga con el aviso de “No seguro” no solo transmite una mala imagen: puede reducir conversiones, impedir el correcto funcionamiento de formularios y generar alertas en pasarelas de pago. Saber cómo activar SSL en WordPress implica algo más que instalar un certificado. Hay que validar el dominio, forzar la navegación por HTTPS y corregir los recursos que todavía intentan cargarse por HTTP.
Para una web corporativa, una tienda online o una plataforma que recibe datos de clientes, el certificado SSL forma parte de la operación básica. Cifra la comunicación entre el navegador y el servidor, protege credenciales y ayuda a mantener la confianza de quien visita la web. Google también utiliza HTTPS como señal de seguridad, por lo que dejar el sitio sin certificado ya no es una alternativa razonable.
Antes de activar SSL en WordPress, revisa el dominio
SSL es el nombre habitual, aunque los certificados actuales utilizan el protocolo TLS. En la práctica, ambos términos se usan para referirse al candado que aparece en el navegador cuando se accede a una dirección HTTPS.
El certificado debe emitirse para el dominio exacto que utiliza la web. Si el sitio responde tanto en `midominio.com` como en `www.midominio.com`, conviene que ambas versiones estén cubiertas o que una redirija correctamente a la otra. También hay que confirmar que el dominio apunta al servidor de hosting correcto mediante DNS. Si el DNS sigue propagándose, la validación puede fallar aunque la instalación de WordPress esté bien configurada.
En un hosting administrado, la emisión y renovación del certificado suele gestionarse desde el panel de control. Los certificados gratuitos son suficientes para la mayoría de webs corporativas, blogs y tiendas online. Lo relevante no es pagar más por el candado, sino disponer de una emisión válida, renovación automática y una configuración correcta del servidor.
Los certificados de validación ampliada o empresarial pueden tener sentido cuando una organización necesita procesos formales de verificación de identidad. No mejoran por sí mismos el cifrado técnico ni la velocidad de carga. Para una pyme, el criterio principal debe ser la continuidad: un certificado que vence sin renovarse puede dejar servicios críticos expuestos a errores y avisos del navegador.
Cómo activar SSL en WordPress paso a paso
La activación debe realizarse en este orden para evitar redirecciones fallidas o páginas inaccesibles.
- Emite e instala el certificado en el hosting. Desde el panel, selecciona el dominio y solicita o activa el certificado SSL/TLS. Espera a que el estado figure como activo antes de modificar WordPress. Si el proveedor requiere validación por DNS, correo o archivo, completa ese paso primero.
- Comprueba que HTTPS responde. Abre en el navegador `https://tudominio.com`. Si ves el candado y la página carga, el certificado está instalado. Si aparece un error de nombre de dominio, certificado no confiable o conexión no privada, no continúes con la redirección: primero hay que resolver la emisión o la configuración del dominio.
- Actualiza las direcciones de WordPress. En el escritorio, entra en Ajustes > Generales. Modifica “Dirección de WordPress” y “Dirección del sitio” para que ambas comiencen por `https://`. Guarda los cambios e inicia sesión de nuevo si WordPress lo solicita.
- Fuerza la redirección de HTTP a HTTPS. El servidor debe enviar automáticamente a HTTPS cualquier visita que llegue a la versión antigua. Así se evita que existan dos versiones de la misma web y se mantiene una navegación segura en enlaces antiguos, marcadores y resultados de buscadores.
No actives la redirección global hasta verificar el certificado en todos los dominios que usa la instalación. Es habitual que una web tenga un dominio principal, una variante con www, subdominios para tienda o área de clientes y entornos de prueba. Cada caso requiere una revisión específica.
Configura la redirección en el servidor, no solo con un plugin
Un plugin puede facilitar el cambio inicial, pero no debería ser la única capa que obliga el uso de HTTPS. La redirección a nivel de servidor se ejecuta antes de cargar WordPress, consume menos recursos y reduce la dependencia de extensiones adicionales.
En servidores Apache, la regla suele gestionarse en la configuración del sitio o en el archivo `.htaccess`. En Nginx, se define dentro del bloque del servidor. Los paneles de hosting administrado también pueden incluir una opción para redirigir todo el tráfico a HTTPS sin editar archivos manualmente.
Antes de tocar reglas de redirección, realiza una copia de seguridad y conserva acceso al panel del hosting. Una regla mal escrita puede producir un bucle de redirecciones, donde el navegador salta sin parar entre HTTP y HTTPS. Este error es especialmente frecuente cuando hay un proxy, una CDN o un servicio de seguridad delante del servidor.
En esos escenarios, el proxy puede recibir HTTPS desde el visitante y conectarse por HTTP al servidor de origen. WordPress interpreta entonces que la petición no es segura y trata de redirigirla otra vez. La solución depende de la infraestructura: puede requerir que el proxy envíe la cabecera correcta o que WordPress reconozca el protocolo original. No conviene aplicar fragmentos de código genéricos sin saber cómo está montado el tráfico.
Corrige el contenido mixto después de activar SSL
Si el certificado funciona, pero el navegador muestra una advertencia o no aparece el candado, probablemente existen recursos cargados por HTTP. Esto se conoce como contenido mixto. Puede afectar a imágenes, hojas de estilo, archivos JavaScript, fuentes, vídeos incrustados o llamadas a servicios externos.
El navegador suele bloquear el contenido mixto activo, como scripts y estilos. Por eso una web puede parecer correcta en la portada y fallar en un formulario, un menú o un proceso de compra. Las imágenes HTTP a veces se cargan, pero siguen generando una configuración incompleta de seguridad.
Empieza revisando el código fuente y la consola de desarrollador del navegador para localizar las direcciones problemáticas. Después, sustituye las URLs HTTP por HTTPS en el contenido, en los ajustes del tema y en los campos de los plugins. Si la web lleva años funcionando, puede ser necesario buscar y reemplazar direcciones antiguas en la base de datos.
Este reemplazo debe hacerse con cuidado. WordPress guarda datos serializados en determinadas opciones y widgets, por lo que un cambio directo en la base de datos puede romper configuraciones. Utiliza herramientas compatibles con WordPress o pide intervención técnica si el sitio tiene comercio electrónico, membresías, multidioma o integraciones complejas.
Valida que la migración a HTTPS está completa
Tras activar SSL en WordPress, prueba el sitio como lo haría un visitante. Abre la versión HTTP, la versión HTTPS y, si corresponde, las variantes con y sin www. Todas deben acabar en una sola URL principal con HTTPS, sin avisos y sin cadenas de redirecciones innecesarias.
Después revisa las páginas de mayor valor operativo: contacto, acceso de usuarios, carrito, checkout, recuperación de contraseña y formularios conectados a servicios externos. Comprueba también que los correos automáticos, los webhooks y las APIs siguen funcionando. Algunos proveedores externos rechazan peticiones cuando cambia la URL de origen o cuando una integración tenía configurada la versión HTTP.
Vacía la caché de WordPress, la caché del servidor y la CDN si existe. De lo contrario, podrías seguir viendo recursos antiguos o redirecciones guardadas. En navegadores con políticas estrictas, prueba además en una ventana privada para descartar cookies y datos de sesión anteriores.
Finalmente, actualiza las direcciones de la web en herramientas de analítica, plataformas publicitarias, perfiles sociales y servicios de pago. Las redirecciones preservan gran parte del tráfico, pero las URLs directas bien configuradas reducen incidencias y facilitan una medición fiable.
En Smart.cl, el soporte técnico puede revisar la emisión del certificado, el DNS y la configuración del servidor cuando una activación requiere intervención especializada. Para una empresa, el objetivo no es simplemente mostrar un candado: es asegurar que cada visita, formulario y transacción llegue por una conexión fiable, sin fricciones ni avisos que resten credibilidad a su negocio.
