HTTPS: qué es y cómo funciona

HTTPS (Hypertext Transfer Protocol Secure) es el HTTP de siempre transportado sobre una conexión TLS cifrada. Da tres garantías en cada visita: cifrado (nadie en la red puede leer el tráfico), integridad (nadie puede alterarlo en tránsito, por ejemplo para inyectar anuncios o malware) y autenticación (el navegador ha verificado, mediante un certificado SSL, que habla con el dominio real). El esquema de URI https se define en la RFC 9110.

Por qué HTTPS importa para el SEO

• Una señal de posicionamiento. Google anunció HTTPS como señal de posicionamiento en 2014. Es una señal ligera, pero forma parte de las consideraciones de experiencia de página de Google.
• Preferencia como canonical. Cuando la misma página está disponible por HTTP y por HTTPS, Google suele preferir la URL HTTPS como canónica.
• Avisos del navegador. Chrome y otros navegadores marcan las páginas HTTP como «No seguro», y los formularios en páginas HTTP activan avisos más fuertes. Los visitantes lo notan.
• Funciones modernas. HTTP/2 y HTTP/3 en los navegadores, los service workers, la geolocalización y muchas otras API exigen un contexto seguro, así que los sitios HTTP son más lentos y limitados por diseño.
• Datos de referencia. Cuando un sitio HTTPS enlaza a una página HTTP, los navegadores eliminan el referrer por defecto, así que los sitios HTTP pierden datos de atribución.

Cómo migrar de HTTP a HTTPS

Instalar un certificado es la parte fácil. Una migración limpia necesita que todas las señales coincidan:

1. Sirve todas las páginas por HTTPS con un certificado válido que cubra todos los hostnames que uses.
2. Redirige cada URL HTTP a su equivalente HTTPS con una única redirección 301: la misma ruta, no la página de inicio.
3. Actualiza las etiquetas canonical, las anotaciones hreflang, los enlaces internos y los sitemaps a URL HTTPS.
4. Corrige el contenido mixto: imágenes, scripts u hojas de estilo que aún se cargan por http://.
5. Añade HSTS (HTTP Strict Transport Security) cuando todo funcione, para que los navegadores dejen de intentar HTTP.

Un bloque de redirección típico en Nginx:

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://www.example.com$request_uri;
}

Errores habituales

• Contenido mixto. Los navegadores bloquean los scripts y otro contenido activo cargado por HTTP desde una página HTTPS, lo que puede romper en silencio menús, formularios o analítica. Consulta MDN sobre contenido mixto.
• Redirigir todo a la página de inicio en lugar de asignar cada URL a su equivalente HTTPS.
• Redirecciones encadenadas, como HTTP → HTTPS → www → barra final. Combínalas en un solo salto.
• Certificados que no cubren todos los hostnames, de modo que www funciona pero el dominio sin www da un error.
• Olvidar las renovaciones, dejando a los visitantes frente a un aviso de certificado a pantalla completa.

Cómo comprobarlo

El Comprobador SSL muestra el emisor del certificado, las fechas de validez y los días restantes, los dominios cubiertos, la versión de TLS y si HTTP redirige a HTTPS. Combínalo con el Cabeceras de seguridad para confirmar que HSTS y las demás cabeceras de protección están en su sitio.

Preguntas frecuentes