Para qué sirve el certificado SSL y qué pasa si no lo tienes

El certificado SSL sirve para cifrar la conexión entre el visitante y tu web, de modo que nadie pueda leer por el camino lo que se envía (un formulario, una contraseña, una tarjeta), y para demostrar que la web es quien dice ser. Es lo que hace que la dirección empiece por https y aparezca el candado. Si tu web no lo tiene, el navegador muestra «No es seguro», los formularios dan miedo y Google la trata peor. Hoy el certificado es gratuito gracias a Let's Encrypt, y en INQANET va incluido y renovado en todos los planes de hosting + mantenimiento web.

En resumen

• El SSL cifra lo que viaja entre el visitante y tu web y confirma que la web es auténtica. Es lo que pone el https y el candado.
• Sin SSL: aviso de «No es seguro» en el navegador, formularios que nadie rellena y peor trato de Google.
• Cuesta 0 € con Let's Encrypt. Si te lo cobran aparte, pregunta por qué. En INQANET va incluido en el hosting desde 90 €/año.

Qué es un certificado SSL, sin tecnicismos

Un certificado SSL (hoy en realidad TLS, pero todo el mundo sigue diciendo SSL) es un fichero instalado en el servidor de tu web que hace dos cosas: cifra la comunicación entre el navegador del visitante y el servidor, y certifica que el dominio es de quien dice ser. Lo emite una entidad certificadora, que comprueba que controlas el dominio antes de dártelo.

La comparación que usamos con los clientes es la carta y el sobre. Sin SSL, lo que un visitante escribe en tu web viaja como una postal: cualquiera que esté por el camino (una wifi pública, por ejemplo) puede leerla. Con SSL, viaja en un sobre cerrado y lacrado que solo tu servidor puede abrir, y el lacre demuestra que el sobre va a la dirección correcta y no a una copia falsa de tu web.

Lo notas en dos detalles del navegador: la dirección empieza por https:// (la «s» es de seguro) y aparece un candado junto a ella. Si falta, el navegador lo dice en voz alta.

Para qué sirve el SSL en la práctica

Más allá de la teoría, esto es lo que el certificado hace por tu negocio cada día:

1. Protege los formularios. Nombre, teléfono, correo, mensaje. Sin SSL viajan en claro. Con SSL, cifrados.
2. Protege el acceso a tu panel. La contraseña de WordPress también viaja por la misma conexión.
3. Hace posible cobrar. Ninguna pasarela de pago seria funciona en una web sin https.
4. Quita el aviso rojo. Los navegadores marcan como «No es seguro» cualquier web sin https, y en las páginas con formularios el aviso es aún más visible.
5. Ayuda con Google. Google explica en su documentación sobre experiencia en la página que el uso de HTTPS es una de las señales que tiene en cuenta. Según su propio informe de transparencia, la inmensa mayoría de las páginas que se cargan en Chrome ya van cifradas; una web sin https es hoy la excepción rara.
6. Da confianza. El candado es el símbolo que la gente ha aprendido a buscar. INCIBE recomienda a los usuarios comprobarlo antes de introducir datos en cualquier web.

Qué pasa si tu web no tiene certificado SSL

Lo hemos visto en webs que nos llegan para revisar, sobre todo antiguas o con el certificado caducado sin que nadie se diera cuenta. Las consecuencias, por orden de gravedad:

Por ejemplo, una gestoría cuya web tenía el certificado caducado desde hacía tres semanas no entendía por qué habían dejado de llegarle consultas. Cualquiera que entraba veía una pantalla roja de advertencia y se iba. No era un problema de diseño ni de Google: era un fichero caducado que nadie renovó.

Cuánto cuesta un certificado SSL (y por qué te lo cobran)

Aquí viene lo bueno: hoy el certificado es gratis. Let's Encrypt es una entidad certificadora sin ánimo de lucro que emite certificados TLS gratuitos y automáticos, y cualquier hosting decente los instala y renueva solos cada pocos meses. Es lo que usamos en INQANET para todos los dominios.

¿Entonces por qué algunos hostings cobran el SSL aparte? Por tres razones, y solo una es buena. La mala: es una forma de inflar la factura con algo que cuesta cero. La regular: hay certificados de pago con validación de empresa (comprueban tus datos mercantiles, no solo el dominio) que tienen sentido para bancos o grandes tiendas, pero no para una pyme. La aceptable: el trabajo de instalar y renovar el certificado, que en algunos proveedores no está automatizado. En nuestros planes ese trabajo va incluido.

Un consejo cuando compares hostings: si el SSL aparece como extra de pago para una web normal, pregunta por qué. La respuesta te dirá mucho del proveedor.

Cómo saber si tu web lo tiene bien

Tres comprobaciones que puedes hacer ahora mismo desde el móvil:

• Escribe tu dominio y mira la barra. ¿Empieza por https y hay candado? Bien. ¿Pone «No es seguro»? No lo tiene o está mal.
• Escribe la versión con http:// a mano. Debería redirigirte solo a https://. Si se queda en http, hay que configurar la redirección.
• Pulsa en el candado. Verás hasta cuándo es válido el certificado. Si caduca en pocos días y nadie lo renueva automáticamente, tienes un problema en camino.

Además, en WordPress hay un fallo frecuente: la web tiene certificado, pero alguna imagen o algún script se carga por http, y el navegador quita el candado o avisa de «contenido mixto». Se arregla revisando las URL de la web, y es parte del mantenimiento que hacemos cada mes.

Cómo lo incluye INQANET

En todos los planes de hosting + mantenimiento web, el certificado SSL va incluido, instalado el primer día y renovado automáticamente. Además, configuramos la redirección de http a https, revisamos el contenido mixto y, si migras desde otro hosting, dejamos la web con candado antes de cambiar el dominio para que no haya ni un minuto de aviso rojo.

Si tu web muestra ahora mismo «No es seguro», escríbenos con la dirección: te decimos qué pasa y, si te vienes, lo dejamos resuelto en la migración sin coste. Y si la web es nueva, en diseño web el certificado forma parte de la entrega.

Preguntas frecuentes

Fuentes y lecturas

• Let's Encrypt. Certificados TLS gratuitos
• Google. Informe de transparencia: cifrado HTTPS en la web
• Google Search Central. Experiencia en la página
• INCIBE. Protege tu empresa