Nombre de usuario
Crear Cuenta
Cómo migrar su sitio a HTTPS
La migración en sí lleva una tarde. Lo que cuesta tráfico a los sitios es el orden en que se hacen los pasos: una redirección activada antes de eliminar el contenido mixto, o un certificado que nadie renueva. Esta es la secuencia que evita ambas cosas.
Por qué la migración ya no es opcional
HTTPS dejó de ser una ventaja y pasó a ser lo mínimo. Estas son las cuatro cosas que cambian cuando un sitio se sirve con él.
-
Nadie lee el tráfico
Las credenciales, los datos de los formularios, las cookies y las propias páginas viajan cifradas entre el visitante y su servidor, así que una red Wi-Fi compartida o un salto del camino no puede leerlas ni reescribirlas.
-
Y nadie lo reescribe
El HTTP simple se puede modificar en tránsito: anuncios inyectados y enlaces de descarga reescritos son el resultado habitual. Un certificado hace que esa manipulación se detecte.
-
Los buscadores lo dan por hecho
Google trata HTTPS como señal de posicionamiento desde 2014. Por sí sola es una señal pequeña, pero hoy convive con métricas de experiencia de página para las que HTTPS es un requisito previo.
-
La web moderna lo exige
HTTP/2, HTTP/3, los service workers, la geolocalización, las API de cámara y micrófono y la mayoría de las integraciones de pago se niegan a funcionar en un origen no seguro.
La migración, paso a paso
Hágalos en orden. Los pasos 1 a 4 pueden hacerse en una copia de preproducción; el paso 6 es el que hace público el cambio.
-
Inventaríe todos los nombres que sirve
Enumere cada nombre de host en el que responde el sitio: el dominio a secas, www y cualquier subdominio como shop, blog o api. El certificado tiene que cubrirlos todos, y un nombre que aparezca después de la migración obliga a reemitir. Anote también los scripts, las fuentes y las imágenes de terceros que incrusta: de eso trata el paso 4.
-
Elija un certificado que los cubra
Un solo nombre necesita un certificado de dominio único, un conjunto de subdominios necesita un wildcard y varios dominios sin relación necesitan uno multidominio. El nivel de validación es una decisión aparte: el DV demuestra el control del dominio y se emite en minutos; el OV y el EV comprueban además la empresa que hay detrás.
-
Genere el CSR, instale el certificado y compruebe la cadena
Cree la clave y la solicitud de firma de certificado en el servidor que va a alojarlas, y deje allí la clave privada. Después de instalarlo, compruebe la cadena en lugar de fiarse del navegador que usted use: un intermedio que falta es invisible en Chrome de escritorio y fatal en Android antiguos.
-
Elimine el contenido mixto
Una página servida por HTTPS que carga un recurso por HTTP es contenido mixto, y los navegadores hacen algo más que avisar: los scripts, las hojas de estilos y los iframes se bloquean sin más, mientras que las imágenes, el audio y el vídeo se vuelven a pedir en silencio por HTTPS y no se cargan si el servidor no los ofrece ahí. Corrija las referencias en las plantillas, en la base de datos y en su CSS. Si algo sigue sin cargarse, lea la petición fallida en la pestaña de red: el servidor que aparece le dirá si se le pasó una URL con http://, si ese servidor no admite HTTPS en absoluto o si la protección contra el hotlinking necesita la forma https:// de su dominio en su lista de permitidos.
-
Actualice los enlaces internos y las etiquetas canónicas
Los enlaces internos, las etiquetas canónicas, las etiquetas hreflang, las URL de Open Graph y los datos estructurados deben apuntar todos a la versión https://. Dejar que la redirección resuelva los enlaces internos funciona, pero gasta una ida y vuelta en cada clic y deja la URL antigua como la que usted publica.
-
Redirija HTTP a HTTPS con un 301 y después añada HSTS
Un 301 permanente desde cada URL HTTP a su gemela HTTPS traslada las señales de posicionamiento acumuladas y convierte la nueva dirección en la canónica. Cuando lleve un tiempo con el sitio funcionando en HTTPS sin problemas, añada la cabecera Strict-Transport-Security para que los navegadores dejen de intentar HTTP: empiece con un max-age corto, porque esa cabecera es difícil de retirar.
-
Avise a los buscadores
Añada el sitio HTTPS como propiedad aparte en Google Search Console y en Bing Webmaster Tools, envíe un sitemap cuyas URL sean todas https:// y asegúrese de que robots.txt no bloquea las páginas nuevas. No elimine la propiedad HTTP: es donde verá cómo se van descartando las URL antiguas. Si mantiene una lista de disavow, súbala también a la propiedad HTTPS: Search Console guarda una lista por propiedad de prefijo de URL y no traslada nada (la herramienta no se aplica a las propiedades de dominio).
-
Vigile las primeras semanas y mantenga el certificado renovado
Cuente con que la indexación se mueva poco a poco y no de un día para otro; una caída breve mientras se conocen las dos versiones es normal. Después apunte la fecha de caducidad en la agenda. Un certificado caducado es un aviso a pantalla completa en el navegador, y es la forma más habitual de que un sitio que migró a HTTPS con éxito se caiga un año después.
Antes de darlo por terminado
Seis comprobaciones que detectan lo que los pasos anteriores suelen dejar pasar.
- La cadena del certificado está completa y el certificado se corresponde con la clave privada en todos los servidores que hay detrás del balanceador de carga.
- Todos los nombres de host responden por HTTPS, incluidas las formas con y sin www.
- Ninguna página carga un recurso http://: revise las páginas de artículo y el proceso de pago, no solo la portada.
- Cada URL HTTP responde con un 301, no con un 302, y lleva a la página HTTPS equivalente y no a la portada.
- El sitemap, robots.txt, las etiquetas canónicas y los datos estructurados llevan todos URL https://.
- La fecha de caducidad está en la agenda de alguien que sigue trabajando aquí, o la renovación está automatizada.
Preguntas que surgen durante la migración
El navegador dice que la conexión no es totalmente segura. ¿Por qué?
Casi siempre es contenido mixto: la página se sirve por HTTPS, pero algo que hay en ella —una imagen, una fuente, un script de seguimiento— se pide por HTTP. No lo juzgue por el icono junto a la dirección: Chrome sustituyó el candado por un icono de ajustes en todos los sitios en la versión 117, y los navegadores que conservaron el candado lo dibujan cada uno a su manera. La consola de desarrollo nombra el recurso bloqueado o que no pudo pasar a HTTPS, y nuestro comprobador SSL informa de la parte del certificado.
¿La migración nos costará tráfico de búsqueda?
Una caída breve mientras se conocen las dos versiones es normal y se recupera. Una bajada que se mantiene indica que algo de los pasos 5, 6 o 7 está incompleto: normalmente redirecciones 302 en lugar de 301, etiquetas canónicas que siguen apuntando a http:// o un sitemap que nunca se volvió a enviar.
¿Por qué pagar por un certificado si los hay gratuitos?
El cifrado es idéntico. Lo que se paga es el nivel de validación —un certificado gratuito demuestra el control del dominio y nada sobre la empresa— más una garantía, un sello de sitio, soporte cuando una instalación falla y certificados que duran más de 90 días.
¿Cómo evitamos que caduque el certificado?
Automatice la renovación si su plataforma admite ACME y deje un recordatorio en la agenda como respaldo. Nosotros también le avisamos antes de la caducidad, pero un aviso solo sirve si llega a alguien que todavía lee ese buzón.
¿Listo para migrar?
Elija el certificado que se corresponda con los nombres que anotó en el paso 1, o pregúntenos y se lo buscamos nosotros.
