Por Tomás GTCEl aviso «no seguro» sale cuando tu web no carga por HTTPS o cuando el certificado SSL ha caducado, está mal instalado o no cubre esa dirección. También puede salir un aviso parecido si la página carga imágenes o scripts por HTTP (contenido mixto). Se arregla instalando o renovando el certificado, redirigiendo todo a HTTPS y corrigiendo esos enlaces.
Qué significa que tu web sea «no segura»
Tranquilo: el aviso no quiere decir que te hayan hackeado. Quiere decir que la conexión entre el navegador del cliente y tu web no va cifrada, o que el navegador no se fía del certificado que la cifra.
Tu web puede cargar de dos formas:
- HTTP: los datos viajan sin cifrar. Si alguien rellena un formulario, lo que escribe podría leerse por el camino.
- HTTPS: los datos viajan cifrados. Para eso hace falta un certificado SSL (hoy técnicamente se llama TLS, pero todo el mundo dice SSL) instalado en el servidor.
Los navegadores actuales marcan como «no segura» cualquier web que cargue por HTTP, sobre todo si tiene formularios. Y si el certificado falla, directamente enseñan una pantalla de error antes de dejar pasar.
Lo que veo en clientes: el problema casi nunca es la web en sí. Es un certificado que no se renovó, un cambio de hosting que se hizo a medias o una imagen antigua enlazada con http://.
Las 4 causas más habituales
| Qué pasa | Cómo lo notas | Cómo se arregla |
|---|---|---|
| No hay certificado | La dirección empieza por http:// y sale «No seguro» | Instalar un certificado desde el hosting |
| El certificado ha caducado | Pantalla de error a pantalla completa: «La conexión no es privada» | Renovarlo y activar la renovación automática |
| No cubre esa dirección | Funciona con www y falla sin www, o al revés | Emitir el certificado para las dos versiones |
| Contenido mixto | La web va por HTTPS pero sin el candado completo, o faltan imágenes | Cambiar los enlaces internos de http:// a https:// |
Ojo con la caducidad
Los certificados gratuitos más usados, los de Let's Encrypt, duran 90 días y están pensados para renovarse solos. Si la renovación automática se rompe (por un cambio de DNS, de servidor o de hosting), nadie te avisa hasta que un cliente te dice que tu web «da error».
Mándame la dirección y te reviso la web gratis: certificado, redirecciones y contenido mixto. Te digo qué falla y cómo se arregla.
Por qué te cuesta clientes (y no solo imagen)
Piensa en cómo llega la gente a tu web: te han buscado en Google, han visto tu ficha o les ha llegado un enlace por WhatsApp. Ya tienen intención de contactarte. Y lo primero que ven es un aviso de que la página no es segura.
Lo que pasa después lo he visto muchas veces:
- Si el certificado ha caducado, el navegador enseña una pantalla de error antes de la web. Mucha gente no se arriesga: pulsa «atrás» y entra en el siguiente resultado, que suele ser tu competencia.
- Si la web va por HTTP, entran, pero dudan al rellenar el formulario o al pagar. Justo en el momento en que iban a convertirse en clientes.
- Si tienes tienda online, es peor: nadie mete su tarjeta en una página que el navegador marca como insegura. Y las pasarelas de pago exigen HTTPS.
- Si pagas publicidad, estás pagando clics que acaban en una pantalla de error. Es dinero tirado mientras dure el fallo.
Además, Google recomienda HTTPS en su documentación para webmasters, así que una web sin él parte con desventaja frente a la que sí lo tiene.
Por eso no es un detalle técnico que se pueda dejar para más adelante. Si tu web recibe visitas pero no te llama nadie, este puede ser uno de los motivos; hay más en tengo visitas en la web pero nadie llama.
Un truco: pregunta a dos o tres clientes de confianza si alguna vez les ha salido un aviso al entrar en tu web. A veces el fallo solo aparece en un navegador o en una versión del dominio, y tú nunca lo ves.
Cómo comprobarlo tú en 5 minutos
- Escribe tu dominio sin nada delante (tudominio.es) en el navegador. Debe acabar en https:// sin que tú lo pongas.
- Prueba las cuatro versiones: http://tudominio.es, http://www.tudominio.es, https://tudominio.es y https://www.tudominio.es. Todas deben llevar a la misma dirección con HTTPS.
- Pulsa en el icono que hay a la izquierda de la dirección. Te dice si la conexión es segura y, en los detalles del certificado, hasta qué fecha es válido.
- Recorre las páginas importantes: inicio, contacto, formulario y, si tienes tienda, el carrito. El contenido mixto a veces solo aparece en una página concreta.
- Míralo desde el móvil con datos, no con el wifi de la oficina. Ahí lo ve el cliente.
Si alguno de estos pasos falla, ya sabes dónde está el problema.
Cómo se arregla, paso a paso
1. Instala o renueva el certificado
La mayoría de hostings incluyen certificados gratuitos. En el panel suele haber un apartado «SSL» o «Certificados» donde se activa con un clic. Asegúrate de que cubre el dominio con y sin www y de que la renovación automática está activada.
2. Redirige todo a HTTPS
Tener el certificado no basta: la web tiene que mandar a HTTPS a quien entre por HTTP, con una redirección permanente (301). Si no, sigues teniendo dos webs a la vez, una segura y otra no.
3. Cambia la dirección en la web
En WordPress, por ejemplo, la dirección del sitio tiene que empezar por https://. Después toca revisar los enlaces a imágenes, hojas de estilo y scripts que se quedaron con http://. Eso es lo que provoca el contenido mixto.
4. Avisa a Google
Pasar de HTTP a HTTPS es, para Google, un traslado de sitio con cambio de URLs. Con las redirecciones bien hechas no pierdes posiciones, pero conviene tener la versión HTTPS en Search Console y el mapa del sitio con las direcciones nuevas. Si tu web ya tenía problemas para salir, te lo explico en por qué mi web no aparece en Google.
5. Revisa lo que depende del dominio
Formularios, pasarela de pago, píxel de Meta, Google Ads: si alguno apunta a la dirección antigua, compruébalo después del cambio.
Lo que no tienes que hacer
- Decirle al cliente que «acepte el riesgo» y siga. Nadie lo hace. Y los que lo hacen, desconfían.
- Pagar un certificado caro pensando que posiciona más. Para una web de negocio normal, un certificado gratuito bien instalado cifra igual.
- Arreglarlo solo en la portada. Si el formulario de contacto sigue en HTTP, el aviso sale justo donde el cliente iba a escribirte.
- Tocar el DNS o cambiar de hosting a ciegas. Es la forma más rápida de que el certificado deje de renovarse. Si no sabes quién tiene el acceso, mira antes cómo recuperar el control de tu web, dominio y hosting.
- Ignorar un aviso que sale de repente en una web que antes iba bien. Casi siempre es una caducidad, pero si además ves páginas raras o redirecciones a otros sitios, puede ser otra cosa: lee qué hacer si te han hackeado la web.
Cómo evitar que te vuelva a pasar
- Renovación automática activada y comprobada después de cualquier cambio de hosting o DNS.
- Apunta la fecha de caducidad del certificado y del dominio en tu calendario, con una semana de margen.
- Que alguien vigile la web: el aviso lo tiene que ver tu proveedor antes que tu cliente.
- Accesos a mano: hosting, dominio y web a tu nombre, no solo al de quien te la hizo.
- Actualizaciones al día en WordPress y plugins, que un certificado bien puesto no protege de todo.
Todo esto entra en lo que llamo mantenimiento. Si quieres saber cuánto supone, te lo cuento en cuánto cuesta mantener una página web.