Qué es un certificado SSL y por qué tu página lo necesita

El dueño de un despacho de contadores en la Del Valle recibe un mensaje de un prospecto: "Oiga, quise mandarle mis datos por su página, pero me salió que el sitio no es seguro y mejor no lo hice. ¿Le puedo mandar todo por correo?". El contador abre su página y ahí está, junto a la dirección, la palabra "No seguro". Nadie le avisó. El sitio funcionaba igual que siempre, pero quién sabe cuántos prospectos más vieron esa advertencia y simplemente se fueron.

Entender qué es un certificado SSL te ahorra justo ese problema. Es un archivo que se instala en el servidor donde vive tu página y que permite que la conexión entre tu sitio y el visitante viaje cifrada. Cuando está bien instalado, la dirección empieza con https:// y el navegador no muestra advertencias. Cuando falta, vence o está mal configurado, el navegador avisa que tu sitio no es seguro.

En esta guía explicamos qué es un certificado SSL sin tecnicismos, por qué aparece el "no seguro", qué tipos hay y cuándo importa cada uno, si conviene uno gratis o de pago, cómo se renueva, qué es el contenido mixto y cómo revisar el tuyo en cinco minutos.

El candado y HTTPS, explicado sin tecnicismos

Imagina que tu cliente te manda una carta con su nombre y teléfono. Sin certificado, esa carta viaja como postal: cualquiera que esté en el camino, por ejemplo en una red wifi pública, podría leerla. Con certificado, la carta viaja en un sobre cerrado que solo tu servidor puede abrir.

Eso es HTTPS: la versión cifrada del protocolo con el que los navegadores piden y reciben páginas. El certificado cumple dos funciones:

• Cifra la información que va y viene entre el navegador y tu servidor: formularios, contraseñas, datos de pago.
• Confirma que el sitio es el que dice ser, porque una autoridad certificadora verificó que quien pidió el certificado controla ese dominio.

Un detalle de nombres: SSL es el nombre de la tecnología original. Lo que se usa hoy se llama TLS, pero en el mercado todos siguen diciendo "certificado SSL". Es lo mismo para efectos prácticos.

Otro detalle: durante años el símbolo de seguridad fue un candado junto a la dirección. Algunos navegadores, como Chrome, ya lo reemplazaron por un ícono neutro, porque HTTPS se volvió lo normal. Lo que sigue siendo muy visible es lo contrario: la advertencia de "No seguro" cuando falta.

Por qué el navegador marca tu sitio como "no seguro"

Los navegadores principales muestran esa advertencia en cualquier página que se cargue por http:// sin cifrado, y la hacen más notoria cuando hay un formulario. Las causas más comunes son estas:

1. No hay certificado instalado. Sigue pasando con sitios viejos o con hostings muy básicos.
2. El certificado venció. Se instaló una vez y nadie configuró la renovación. En ese caso el navegador puede mostrar una pantalla completa de error, que es todavía peor que la advertencia.
3. El certificado no cubre esa dirección. Por ejemplo, cubre tunegocio.com pero no www.tunegocio.com, o al revés.
4. No hay redirección. El certificado existe, pero si alguien escribe la dirección sin "https", el sitio se abre en la versión sin cifrar.
5. Contenido mixto. La página carga por HTTPS, pero alguna imagen, script o formulario se sigue pidiendo por http://.

El efecto concreto: la gente duda antes de llenar un formulario, y Google considera HTTPS como una señal más en sus resultados.

Tipos de certificado: DV, OV y EV

Los certificados se distinguen por cuánto verifica la autoridad certificadora antes de emitirlos. El cifrado es igual de fuerte en los tres; cambia el nivel de comprobación de identidad.

Hace años, los certificados EV mostraban el nombre de la empresa en verde junto a la dirección. Los navegadores quitaron esa distinción visual, así que hoy el visitante promedio no ve diferencia entre un DV y un EV salvo que abra los detalles del certificado. Por eso, para un negocio típico, pagar por OV o EV solo tiene sentido si alguien te lo está pidiendo.

Además del nivel de validación, hay variantes según cuántas direcciones cubren: un solo dominio, un dominio con todos sus subdominios (llamado comodín o wildcard) o varios dominios distintos en un mismo certificado. Si tienes tienda.tunegocio.com, blog.tunegocio.com y citas.tunegocio.com, conviene que tu proveedor lo tome en cuenta.

Certificado gratis o de pago

Para la mayoría de los negocios, un certificado gratuito es suficiente. Let's Encrypt, una autoridad certificadora sin fines de lucro, emite certificados DV gratuitos, y muchos hostings y servicios de red como Cloudflare los activan con unos clics o de forma automática.

Un certificado de pago se justifica cuando:

• Necesitas OV o EV por un requisito de un cliente, socio o regulación.
• Quieres soporte o una garantía comercial del emisor, algo que piden algunas áreas de compras.

Desconfía de quien te cobra un certificado DV como si fuera un servicio premium sin explicarte qué agrega. Pregunta qué tipo es, quién lo emite, qué direcciones cubre y cómo se renueva. Si tu hosting no incluye certificado gratuito en pleno 2026, es una señal para revisar ese hosting; hay criterios en hosting para página web en México.

La renovación: el punto donde más sitios fallan

Todo certificado tiene fecha de vencimiento. Los gratuitos suelen durar poco y están diseñados para renovarse solos. Además, la industria acordó reducir por etapas la vigencia máxima de todos los certificados en los próximos años, así que la renovación manual una vez al año está desapareciendo.

Lo que esto significa para ti:

• La renovación debe ser automática. Pregúntale a tu proveedor si lo es y cómo se entera si algo falla.
• Alguien debe recibir los avisos. Los emisores y algunos hostings mandan correos antes del vencimiento. Si van a un correo que nadie revisa, es como si no existieran.
• Cambiar de hosting o de DNS puede romper la renovación. Después de una migración, revisa que el certificado se haya renovado al menos una vez sin problemas.

Este es uno de los puntos que debería estar en cualquier plan de mantenimiento de página web.

Contenido mixto: cuando tienes certificado y aun así falla

El contenido mixto ocurre cuando tu página se abre por HTTPS pero carga algún elemento por http://. Pasa mucho en sitios que se migraron a HTTPS sin revisar a fondo: una imagen subida hace años con la dirección vieja, un video insertado, un script de un proveedor externo o un formulario que envía datos a una dirección sin cifrar.

Los navegadores actuales bloquean o actualizan muchos de esos elementos, así que el síntoma puede ser una imagen que no aparece, un formulario que no se envía o una advertencia en el ícono de la barra de direcciones. Cómo se corrige, en general:

• Actualizar las direcciones internas del sitio de http:// a https://, incluidas las que están dentro de los textos y la base de datos.
• Revisar scripts, fuentes, mapas y videos de terceros para que se carguen por HTTPS.
• Cambiar o quitar cualquier servicio externo que no ofrezca HTTPS.

Redirección de http a https

Tener certificado no basta si tu sitio todavía responde en la versión sin cifrar. Lo correcto es que cualquier visita a http://tunegocio.com o http://www.tunegocio.com se mande automáticamente, con una redirección permanente, a la versión https:// que elegiste como principal.

Así el visitante siempre llega a la versión segura, Google entiende cuál es la dirección oficial y los enlaces viejos en tarjetas, redes o directorios siguen funcionando.

Cómo revisar el tuyo en cinco minutos

1. Escribe tu dirección sin "https" en el navegador del celular y de la computadora. Debe terminar en la versión https:// sin advertencias.
2. Prueba con y sin "www". Las cuatro combinaciones (con y sin www, con y sin https) deben llevar a la misma dirección final.
3. Toca el ícono junto a la dirección y abre la información de la conexión. Ahí puedes ver quién emitió el certificado y hasta cuándo vale.
4. Recorre las páginas con formulario y revisa que no aparezca ninguna advertencia.
5. Usa un verificador en línea de SSL, de los que hay varios gratuitos, para revisar la configuración y la fecha de vencimiento.
6. Pregunta a tu proveedor si la renovación es automática y a qué correo llegan los avisos.

Lo que un certificado no hace

Un certificado cifra la conexión; no hace que tu sitio sea invulnerable. Una página con HTTPS puede tener contraseñas débiles, complementos sin actualizar o un panel de administración expuesto. Y al revés: muchos sitios fraudulentos tienen certificado, porque obtener uno DV es gratis. El candado nunca fue garantía de que un sitio sea honesto, solo de que la conexión va cifrada. Para el resto de la seguridad, revisa ciberseguridad para PyMEs.

Preguntas frecuentes

¿Un certificado SSL es obligatorio?

No hay una regla general que obligue a todas las páginas a tenerlo, pero en la práctica es indispensable. Sin él, los navegadores marcan tu sitio como no seguro y la gente evita dejarte sus datos. Si recibes pagos con tarjeta, los procesadores de pago exigen conexiones cifradas.

¿Cuánto dura un certificado SSL?

Depende del emisor y del tipo, y la vigencia máxima permitida se está reduciendo por etapas en toda la industria. Por eso lo importante no es cuánto dura, sino que se renueve de forma automática y que alguien reciba los avisos si la renovación falla.

¿El certificado SSL ayuda a posicionar en Google?

Google considera HTTPS como una señal, pero pesa poco frente al contenido y la experiencia del sitio. Su efecto más fuerte es indirecto: evita la advertencia de "no seguro" que hace que la gente se salga. Para el posicionamiento completo, revisa cómo posicionar una página web nueva en Google.

¿Necesito otro certificado para mi correo corporativo?

El correo usa sus propias conexiones cifradas, que normalmente administra tu proveedor de correo, no el certificado de tu página. Si tu correo está en un servicio como Google Workspace o Microsoft 365, eso ya viene resuelto por ellos. Más detalles en dominio y correo corporativo.

¿Qué hago si mi certificado venció?

Avísale de inmediato a tu proveedor de hosting o a quien administra tu sitio; en la mayoría de los casos se renueva en minutos. Después pide que configuren la renovación automática y que los avisos lleguen a un correo que sí se revise.

Por dónde empezar

1. Haz la revisión de cinco minutos en celular y computadora.
2. Si sale "no seguro", identifica la causa: falta de certificado, vencimiento, cobertura incompleta, redirección o contenido mixto.
3. Confirma con tu proveedor que la renovación es automática y quién recibe los avisos.
4. Solo considera un certificado OV o EV si un cliente o una regulación te lo pide.
5. Agrega la revisión del certificado a tu rutina mensual de mantenimiento.

Si quieres que lo revisemos contigo, en Emproyecta hacemos páginas web en CDMX con HTTPS, redirecciones y formularios conectados a WhatsApp y al CRM, para que nadie se quede sin escribirte por una advertencia del navegador.