HTTPS y certificados SSL: qué son, cómo funcionan y cómo configurarlos bien

Una de las primeras cosas que miramos cuando nos llega una web para revisar es algo que casi nadie mira: qué pasa si escribes la dirección sin https:// y con www delante. En muchas webs esa combinación da un aviso de certificado, o salta por tres redirecciones antes de llegar a la portada, o carga una versión antigua que nadie sabía que seguía viva. El candado aparecía en la versión «buena», y todo el mundo daba por hecho que el asunto estaba resuelto.

El HTTPS es exactamente eso: la parte más visible es la más fácil, y lo que de verdad marca la diferencia está en los detalles de configuración. Hoy tener certificado es gratis y casi automático. Tenerlo bien configurado, con todas las variantes del dominio cubiertas, renovación sin sustos, redirecciones limpias y cabeceras de seguridad, es lo que convierte el candado en una garantía real.

En seguridad web y confianza contamos por qué el candado influye en cómo se percibe una marca. Esta guía es su cara técnica: cómo funciona, qué opciones hay y cómo dejarlo fino.

01Qué hace realmente un certificado SSL

Lo primero, una aclaración de nombres. SSL (Secure Sockets Layer) es el protocolo original de los años noventa y lleva mucho tiempo retirado. Lo que usan hoy las webs es TLS (Transport Layer Security), su sucesor. Seguimos diciendo «certificado SSL» por costumbre, y está bien, pero conviene saber que la tecnología que trabaja es TLS, en sus versiones 1.2 y 1.3.

HTTPS es simplemente HTTP, el protocolo de la web, viajando dentro de una conexión TLS. Esa conexión aporta tres cosas:

• →Cifrado. Lo que viaja entre el navegador y el servidor (contraseñas, datos de formularios, la propia página) no lo puede leer nadie por el camino, ni en la wifi de una cafetería ni en ningún punto intermedio.
• →Integridad. Nadie puede modificar la página mientras viaja, por ejemplo inyectando publicidad o código.
• →Autenticidad. El navegador comprueba que el servidor es quien dice ser, gracias al certificado.

Cómo se establece la conexión

Cuando visitas una web por HTTPS, el navegador y el servidor hacen un saludo inicial (handshake):

1. 01El navegador anuncia qué versiones de TLS y qué algoritmos admite.
2. 02El servidor elige los mejores que tengan en común y envía su certificado.
3. 03El navegador comprueba que el certificado es válido para ese dominio, que no ha caducado y que lo ha firmado una autoridad de certificación en la que confía.
4. 04Ambos acuerdan unas claves de sesión y a partir de ahí todo viaja cifrado.

Con TLS 1.3 este saludo es más corto que con las versiones anteriores: necesita un solo viaje de ida y vuelta en lugar de dos, lo que se nota en conexiones móviles con latencia alta. Es una de esas mejoras de seguridad que, además, hacen la web más rápida.

02Tipos de certificado: cuál necesita tu web

Los certificados se diferencian por cuánto comprueba la autoridad antes de emitirlos y por cuántos nombres cubren.

Un dato útil: desde 2019 los principales navegadores dejaron de mostrar el nombre de la empresa en verde junto a la dirección para los certificados EV. Hoy, a ojos del visitante, un DV gratuito y un EV de pago se ven igual. Por eso en nuestros proyectos solemos usar DV con renovación automática, y reservamos OV o EV para clientes que los necesitan por un requisito concreto.

En cuanto a cobertura:

• →Un solo nombre: tudominio.es.
• →Multidominio (SAN): varios nombres concretos en un mismo certificado. Lo habitual es incluir siempre el dominio raíz y www.
• →Comodín (wildcard): *.tudominio.es cubre todos los subdominios de un nivel. Práctico si creas subdominios a menudo.

03Let's Encrypt y la renovación automática

Let's Encrypt es una autoridad de certificación gratuita y sin ánimo de lucro, impulsada por la organización ISRG, que ha hecho posible que el HTTPS sea la norma en la web. Emite certificados DV de 90 días mediante un protocolo automático llamado ACME: un programa en tu servidor demuestra que controlas el dominio, recibe el certificado, lo instala y lo renueva sin intervención humana.

Hay dos formas habituales de demostrar ese control:

• →HTTP-01: el programa coloca un archivo temporal en /.well-known/acme-challenge/ y Let's Encrypt lo consulta. Es el método por defecto y funciona para nombres concretos.
• →DNS-01: el programa crea un registro TXT temporal en tu zona DNS. Es obligatorio para los comodines y útil cuando el servidor no es accesible desde internet.

En la práctica, casi nunca tendrás que hacer esto a mano. Los paneles de hosting (Plesk, cPanel), las plataformas de despliegue (Vercel, Netlify, Cloudflare) y servidores como Caddy lo hacen solos. En un servidor propio, la herramienta clásica es Certbot.

Si además tienes un registro CAA en tu DNS, asegúrate de que autoriza a la autoridad que emite tus certificados. Lo explicamos en la guía de dominios y DNS.

04Configurar HTTPS bien: la lista que usamos en el estudio

Instalar el certificado es el principio. Esta es la secuencia que seguimos para dejar una web con una configuración HTTPS completa.

1. 01Cubre todas las variantes. El certificado debe incluir el dominio raíz y www, y cualquier subdominio que esté en uso.
2. 02Elige una versión canónica. Con o sin www, pero una sola. Todo lo demás redirige a ella.
3. 03Redirige en un solo salto. http://tudominio.es, http://www.tudominio.es y https://www.tudominio.es deben llevar a https://tudominio.es (o a la variante elegida) con una única redirección 301. Las cadenas de redirecciones restan velocidad y confunden a los buscadores.
4. 04Activa TLS 1.2 y 1.3, y nada más antiguo. TLS 1.0 y 1.1 están oficialmente obsoletos desde 2021 (RFC 8996) y los navegadores ya no los aceptan.
5. 05Corrige el contenido mixto. Todas las imágenes, scripts, fuentes e iframes deben cargarse por HTTPS.
6. 06Añade HSTS. Indica al navegador que tu dominio solo se visita por HTTPS.
7. 07Actualiza las referencias. Canonicals, sitemap, enlaces internos, datos estructurados y la propiedad de Search Console deben usar la URL con https://.
8. 08Comprueba y vigila. Pasa la web por SSL Labs y configura una alerta de caducidad.

Ejemplo de configuración en Nginx

Si gestionas tu propio servidor, este fragmento resume los puntos 3, 4 y 6. En un hosting con panel, las mismas opciones suelen estar en la sección de SSL o de seguridad.

server {
    listen 80;
    server_name tudominio.es www.tudominio.es;
    return 301 https://tudominio.es$request_uri;
}
server {
    listen 443 ssl;
    http2 on;
    server_name www.tudominio.es;
    ssl_certificate     /etc/letsencrypt/live/tudominio.es/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/tudominio.es/privkey.pem;
    return 301 https://tudominio.es$request_uri;
}
server {
    listen 443 ssl;
    http2 on;
    server_name tudominio.es;
    ssl_certificate     /etc/letsencrypt/live/tudominio.es/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/tudominio.es/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    root /var/www/tudominio;
}

05Contenido mixto: el detalle que más candados rompe

Hablamos de contenido mixto cuando una página servida por HTTPS carga algún recurso por HTTP. Pasa mucho en webs migradas: imágenes insertadas hace años con la URL completa, un vídeo incrustado con un código antiguo, una fuente o un script de un proveedor externo.

Los navegadores lo tratan de dos maneras. Las imágenes, el audio y el vídeo intentan cargarse automáticamente por HTTPS y, si el servidor de origen no lo admite, se bloquean. Los scripts, hojas de estilo e iframes se bloquean directamente, porque podrían modificar la página entera. El resultado puede ir desde un candado con advertencia hasta una sección que no aparece o un formulario que no funciona.

Lo que funciona para encontrarlo y resolverlo:

• →Abre la consola de las herramientas para desarrolladores del navegador (F12): cada recurso mixto aparece señalado con su URL.
• →Busca en la base de datos del CMS las URLs que empiezan por http://tudominio. En WordPress, herramientas como WP-CLI permiten reemplazarlas de una vez con wp search-replace.
• →Sustituye los recursos de terceros que no admiten HTTPS. Hoy son una rareza.
• →Como red de seguridad, puedes añadir la cabecera Content-Security-Policy: upgrade-insecure-requests, que pide al navegador que convierta a HTTPS cualquier petición HTTP de la página.

06HSTS: que el navegador recuerde que eres HTTPS

Aunque redirijas de HTTP a HTTPS, la primera petición de un visitante que escribe tu dominio a mano viaja por HTTP, y en ese instante una red maliciosa podría interceptarla. La cabecera HSTS (HTTP Strict Transport Security) resuelve esto: tras la primera visita segura, el navegador recuerda durante el tiempo indicado que tu dominio solo se visita por HTTPS y hace la conversión él mismo, sin pasar por la red.

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

• →max-age=31536000 equivale a un año.
• →includeSubDomains extiende la regla a todos los subdominios.
• →preload indica que quieres entrar en la lista que los navegadores traen de fábrica, de modo que ni siquiera la primera visita viaja por HTTP. La solicitud se hace en hstspreload.org.

El orden sensato es progresivo. Empieza con un max-age corto, por ejemplo 300 segundos, comprueba que todos los subdominios funcionan con HTTPS (también los que usan servicios externos, como el correo web o una intranet), sube a una semana, después a un año, y solo entonces plantéate el preload, que es una decisión a largo plazo y tarda meses en revertirse.

07Comprobar tu configuración en diez minutos

Estas herramientas gratuitas dan una foto completa del estado de tu HTTPS:

• →SSL Labs Server Test (Qualys). Analiza el certificado, la cadena, las versiones de TLS y los algoritmos, y pone una nota. Una configuración como la de esta guía obtiene A, y A+ cuando HSTS está activo con un max-age largo.
• →securityheaders.com. Revisa HSTS y el resto de cabeceras de seguridad, como Content-Security-Policy o X-Content-Type-Options.
• →crt.sh. Busca tu dominio en los registros públicos de transparencia de certificados, donde aparece cada certificado emitido para él. Es útil para descubrir subdominios olvidados y para comprobar que nadie ha emitido certificados que no esperabas.
• →La barra del navegador. Haz clic en el icono junto a la dirección y revisa el certificado: emisor, nombres cubiertos y fecha de caducidad.

Y una costumbre que ahorra disgustos: un monitor de disponibilidad (UptimeRobot, Better Stack o el que uses para la web) con aviso de caducidad del certificado a 14 días. Si la renovación automática falla por cualquier motivo, por ejemplo tras un cambio de DNS, tendrás dos semanas para resolverlo con calma.

El HTTPS también es velocidad

Un efecto secundario muy agradable: los navegadores solo usan HTTP/2 y HTTP/3 sobre conexiones cifradas. Estos protocolos permiten cargar muchos recursos en paralelo por una única conexión, y HTTP/3 se comporta mejor en redes móviles inestables. Es decir, una buena configuración HTTPS es también un paso hacia unas buenas métricas de rendimiento, que trabajamos a fondo en la guía para optimizar LCP, INP y CLS.

08Cuando el HTTPS forma parte del proceso

En una web bien planteada, el HTTPS no es una casilla que se marca al final, sino una pieza más de la infraestructura: se decide la versión canónica al definir el dominio, se automatiza la renovación al montar el servidor y se revisan las cabeceras antes del lanzamiento, junto al resto de la lista técnica de SEO.

En SIMA lo dejamos configurado así en cada web que desarrollamos y lo vigilamos dentro del mantenimiento web, con alertas de caducidad y revisiones periódicas de la configuración. Si tu web muestra algún aviso o quieres saber qué nota sacaría en SSL Labs, escríbenos y lo revisamos juntos.