SSL y HTTPS: Por qué tu Sitio Web Necesita Certificado de Seguridad en 2025

Explicación completa de los certificados SSL y el protocolo HTTPS. Tipos de certificados, cómo afectan el SEO, cómo instalarlos y por qué Google penaliza los sitios sin HTTPS.

SSL/TLS y HTTPS: la diferencia entre un sitio confiable y uno vulnerable

HTTPS (HyperText Transfer Protocol Secure) es la versión cifrada del protocolo HTTP que usa tu navegador para comunicarse con los servidores web. El "S" lo agrega un certificado SSL/TLS que cifra toda la comunicación entre el navegador del visitante y tu servidor, haciendo imposible que terceros intercepten datos como contraseñas, números de tarjeta o información personal. En 2026, HTTPS no es opcional: Google marca los sitios HTTP como "No seguro" en Chrome y los penaliza en posicionamiento. En eCommerce, los sitios sin HTTPS tienen tasas de abandono de carrito hasta 70% más altas.

Cómo funciona TLS: el proceso de handshake

Cuando visitas https://tuempresa.com.mx, ocurre un proceso de negociación (handshake TLS) en milisegundos:

1. Client Hello: el navegador envía las versiones TLS soportadas y algoritmos de cifrado (cipher suites)
2. Server Hello: el servidor responde con el certificado SSL y elige el algoritmo
3. Verificación del certificado: el navegador verifica que el certificado fue firmado por una CA (Certificate Authority) de confianza y que no está expirado
4. Intercambio de claves: se genera una clave de sesión única (usando Diffie-Hellman o ECDH)
5. Comunicación cifrada: toda la sesión se cifra con la clave generada — ni siquiera el propio servidor puede descifrar sesiones pasadas

Activar SSL gratis con AutoSSL en cPanel (Let's Encrypt)

En VacaWeb, el certificado SSL se activa automáticamente con AutoSSL. Si no está activo o necesitas renovarlo:

# Desde cPanel → Security → SSL/TLS → Manage SSL Sites
# O usando la herramienta AutoSSL:
# cPanel → Security → SSL/TLS Status → "Run AutoSSL"

# Verificar el estado del certificado desde SSH
openssl s_client -connect tudominio.com.mx:443 -servername tudominio.com.mx < /dev/null 2>/dev/null   | openssl x509 -noout -dates -subject -issuer

# Salida esperada:
# notBefore=Mar  1 00:00:00 2026 GMT
# notAfter=May 30 23:59:59 2026 GMT  ← Fecha de expiración
# subject=CN = tudominio.com.mx
# issuer=CN = R3, O = Let's Encrypt

# Verificar días restantes hasta expiración
echo | openssl s_client -connect tudominio.com.mx:443 2>/dev/null   | openssl x509 -noout -enddate

Forzar HTTPS con .htaccess (redirección 301)

Aunque el SSL esté activo, debes forzar que todos los visitantes usen HTTPS. Agrega esto al inicio de tu .htaccess:

# Forzar HTTPS — redirección 301 permanente
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

# Para www → sin www (o viceversa, elige solo una):
RewriteCond %{HTTP_HOST} ^www\.tudominio\.com\.mx [NC]
RewriteRule ^(.*)$ https://tudominio.com.mx/$1 [R=301,L]

# HSTS — indicar al navegador que SIEMPRE use HTTPS
# (Solo agregar cuando estés SEGURO de que HTTPS funciona)
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Tipos de certificados SSL

Para el 95% de los sitios mexicanos, el certificado DV gratuito de Let's Encrypt (incluido en todos los planes VacaWeb) es más que suficiente. Ofrece el mismo nivel de cifrado AES-256 que los certificados más caros — la diferencia está solo en el nivel de verificación de identidad de la empresa.

Diagnóstico avanzado de SSL con openssl

# Verificar la cadena completa de certificados
openssl s_client -connect tudominio.com.mx:443 -showcerts < /dev/null 2>/dev/null

# Verificar que TLS 1.3 está habilitado (el más seguro)
openssl s_client -connect tudominio.com.mx:443 -tls1_3 < /dev/null 2>/dev/null | grep "Protocol"

# Verificar que TLS 1.0 y 1.1 están DESACTIVADOS (inseguros)
openssl s_client -connect tudominio.com.mx:443 -tls1 < /dev/null 2>/dev/null
# Debe fallar: "write:errno=104" o "tlsv1 alert protocol version"

# Prueba completa de SSL (herramienta online recomendada)
# ssllabs.com/ssltest — busca tu dominio y busca una calificación A o A+

En VacaWeb, todos los planes de hosting incluyen SSL gratuito con renovación automática vía AutoSSL. Si tu certificado expiró o no se renovó correctamente, abre un ticket con nuestro equipo y lo resolvemos en menos de 2 horas. Ver planes con SSL incluido →

Escenarios Prácticos: SSL/HTTPS en Producción

Escenario 1 — Tienda en línea implementando SSL correctamente: Después de instalar el certificado, verificar que no hay contenido mixto (HTTP dentro de HTTPS) que cause advertencias en el navegador:

# Verificar fechas y detalles del certificado SSL
echo | openssl s_client -connect tudominio.com.mx:443 2>/dev/null |   openssl x509 -noout -subject -issuer -dates

# Output:
# subject=CN=tudominio.com.mx
# issuer=C=US, O=Let's Encrypt, CN=R3
# notBefore=Mar  1 00:00:00 2026 GMT
# notAfter=May 30 00:00:00 2026 GMT  (90 dias Let's Encrypt)

# Detectar contenido mixto (HTTP dentro de HTTPS) con wget
wget --spider -r --no-check-certificate -l 1 https://tudominio.com.mx/ 2>&1 |   grep "http://" | grep -v "^--"

# Forzar HTTPS en WordPress con .htaccess
# (Agregar antes de # BEGIN WordPress):
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Escenario 2 — Empresa configurando certificado SSL wildcard para subdominios: Un wildcard SSL (*.empresa.com.mx) protege todos los subdominios con un solo certificado: tienda.empresa.com.mx, blog.empresa.com.mx, mail.empresa.com.mx. Costo: $0 con Let's Encrypt (requiere validación DNS) o $200-500 USD/año con certificado comercial de Comodo o DigiCert.

Errores Comunes con SSL/HTTPS

Preguntas Frecuentes sobre SSL/HTTPS en México

¿Let's Encrypt es tan seguro como un SSL de pago?

Criptográficamente: sí, igual de seguro. Let's Encrypt emite certificados DV (Domain Validation) con cifrado RSA 2048-bit o ECDSA 256-bit, idéntico al de certificados de pago en el mismo nivel. La diferencia: Let's Encrypt solo valida que controlas el dominio. Los certificados OV (Organization Validation) y EV (Extended Validation) de pago validan la identidad de la empresa, mostrando el nombre de la organización en el certificado.

¿Google penaliza los sitios sin HTTPS?

Sí. Desde 2018, Google Chrome marca los sitios HTTP como "No seguro" (no solo advertencia discreta, sino aviso prominente). Desde 2014, HTTPS es factor de ranking (tie-breaker). En 2025, un sitio en HTTP tiene desventaja de ranking respecto a uno equivalente en HTTPS, y Chrome lo advierte activamente a los usuarios antes de entrar, reduciendo el tráfico significativamente.

¿Qué es HSTS y cómo lo configuro en cPanel?

HSTS (HTTP Strict Transport Security) le indica al navegador que siempre use HTTPS para el dominio, incluso si el usuario escribe HTTP. El header es: Strict-Transport-Security: max-age=31536000; includeSubDomains. En cPanel, está en Seguridad > HSTS. Solo actívalo cuando estés seguro de que SSL está configurado correctamente y planeas mantenerlo. Un max-age de 63072000 (2 años) en el HSTS Preload List asegura protección incluso en primera visita sin historial.

¿Puedo tener SSL en un hosting compartido sin IP dedicada?

Sí. SNI (Server Name Indication) permite que múltiples sitios compartan una IP y cada uno tenga su propio certificado SSL. SNI está soportado por el 99%+ de navegadores modernos. Los planes de hosting compartido de VacaWeb incluyen SSL gratis con Let's Encrypt para todos los dominios y subdominios sin costo adicional, sin necesidad de IP dedicada.

¿Con qué frecuencia debo renovar mi certificado SSL?

Let's Encrypt emite certificados con validez de 90 días y los renueva automáticamente a los 60 días con certbot o AutoSSL de cPanel. Los certificados comerciales (Comodo, DigiCert) tienen validez de 1 año (máximo permitido por los navegadores desde 2020). Si usas AutoSSL de cPanel, la renovación es completamente automática. Configura alertas de expiración en uptimerobot.com (monitorea SSL gratis) como respaldo.