«No es seguro» en tu web: por qué lo muestra Chrome y cómo quitarlo

Si tu web aparece como «No es seguro», el navegador está avisando de que la conexión con tu web no está cifrada, o no del todo. Casi siempre es por una de estas tres causas: no hay certificado SSL o ha caducado, la web no redirige de http:// a https://, o la página carga algún archivo por http:// (lo que se llama contenido mixto). Las tres tienen arreglo, y normalmente sin tocar el diseño ni el contenido.

Hay que arreglarlo pronto. Ese aviso espanta a cualquiera que esté a punto de rellenar un formulario o de pagar. Y Google considera el HTTPS parte de la experiencia de página.

Qué ve exactamente el visitante

Chrome usa un icono a la izquierda de la dirección para decir si la conexión es segura. Su página de ayuda distingue entre webs con conexión segura, webs que no usan una conexión privada («No es seguro») y webs peligrosas. Esas últimas salen con aviso rojo a pantalla completa, y eso es otro problema distinto.

Si tu web sale con el aviso rojo de «sitio peligroso», no es un problema de certificado: Google cree que tu web tiene malware o phishing. En ese caso, ve directamente a qué hacer si te han hackeado.

Cómo saber cuál es tu caso

Haz estas tres pruebas en una ventana de incógnito:

1. Escribe la dirección con https:// delante. Si el navegador te muestra un aviso a pantalla completa sobre el certificado, el certificado falta, ha caducado o es de otro nombre (por ejemplo, cubre tuweb.es pero no www.tuweb.es).
2. Escribe la dirección con http:// delante. Si la web carga así, sin pasar sola a https://, falta la redirección.
3. Si https:// carga pero falta el candado en una página concreta, lo más probable es contenido mixto en esa página.

Causa 1: el certificado SSL falta o ha caducado

El certificado es lo que permite servir la web por https://. Hoy casi todos los alojamientos lo dan gratis, muchas veces con Let’s Encrypt. Sus certificados duran 90 días y la propia Let’s Encrypt recomienda renovarlos automáticamente. Así que, si un certificado gratuito ha caducado, el problema rara vez es el certificado en sí: es que la renovación automática ha fallado.

Las razones típicas:

• El dominio ya no apunta al alojamiento. Alguien cambió los DNS, o el dominio pasa antes por otro servicio. El alojamiento no puede comprobar que el dominio es tuyo y no renueva.
• Falta una de las versiones del dominio. El certificado cubre tuweb.es pero no www.tuweb.es, o al revés.
• El dominio ha caducado. Entonces no falla solo el certificado: falla todo, también el correo.

Qué puedes hacer: en el panel de tu alojamiento busca la sección de SSL o certificados, mira la fecha de caducidad y pulsa renovar o reinstalar. Si da error, casi siempre es por los DNS.

Causa 2: la web no redirige a https

Puedes tener el certificado perfecto, pero si la web sigue respondiendo por http:// sin redirigir, quien entre por un enlace antiguo o escriba la dirección a mano verá el aviso.

En WordPress hay que hacer dos cosas, como explica la guía de HTTPS de WordPress:

1. En Ajustes → Generales, que la «Dirección de WordPress» y la «Dirección del sitio» empiecen por https://.
2. Una redirección permanente (301) de http:// a https:// en el servidor. Muchos alojamientos tienen un interruptor para forzar HTTPS.

Cuidado aquí. Si cambias esas dos direcciones sin que el certificado funcione, puedes quedarte sin acceso al panel. Y si la redirección se configura dos veces (en el alojamiento y en un plugin, por ejemplo), aparece el error de «demasiadas redirecciones». Haz una copia antes.

Si alguna vez has cambiado de dominio o de plataforma, revisa también las redirecciones antiguas. Lo contamos en migrar de Wix a WordPress sin perder SEO.

Causa 3: contenido mixto

Es la más escurridiza. La página se carga por https://, pero dentro hay una imagen, un script o una hoja de estilos que se pide por http://. Según MDN, los navegadores intentan pasar a HTTPS las imágenes, los vídeos y el audio, y bloquean el resto. El resultado: el candado no sale, o sale pero algo de la página deja de funcionar sin que se note.

Es muy típico en webs antiguas que se pasaron a HTTPS después: entradas del blog con imágenes insertadas con la dirección vieja, un tema que carga una fuente por http://, o un widget de un servicio externo.

Cómo encontrarlo: abre la página, pulsa F12 para abrir las herramientas de desarrollo y mira la pestaña «Consola». Los avisos de contenido mixto salen ahí con la dirección exacta del archivo. Después hay que cambiar esas direcciones por https:// en la base de datos, con una herramienta de búsqueda y reemplazo y siempre con copia previa.

Cómo evitar que vuelva a pasar

• Que alguien vigile la caducidad del certificado y del dominio. Que te avise antes de que caduque, no cuando tus clientes ya lo están viendo.
• No toques los DNS sin saber qué apunta a dónde. Un cambio en los DNS puede romper la renovación del certificado y, de paso, el correo. Si tus correos han empezado a llegar a spam, lee mis correos llegan a spam: SPF, DKIM y DMARC.
• Revisa la web después de cada cambio grande: migración, cambio de alojamiento o rediseño.

Si prefieres que lo arreglemos nosotros

Si el aviso ya está saliendo y tienes clientes entrando, es una intervención urgente: 70 € la primera hora, IVA aparte. Hacemos copia antes de tocar nada y, si hace falta más trabajo, te damos un presupuesto cerrado y descontamos esa primera hora si lo apruebas.

Para que no vuelva a pasar, la Vigilancia (49 € al mes por web, o 39 € solo alertas e informe, IVA aparte) te avisa cuando algo falla o cambia, sin permanencia. Si quieres saber cuánto se paga en el mercado por esto, mira cuánto cuesta el mantenimiento web.

Preguntas frecuentes

¿Tengo que pagar por un certificado SSL? Para la mayoría de webs, no. Los certificados gratuitos como los de Let’s Encrypt cifran igual que los de pago. Lo que te puede costar dinero es el tiempo de arreglarlo cuando la renovación falla.

He instalado un plugin de SSL y sigue saliendo el aviso. ¿Por qué? Porque el plugin no puede arreglar un certificado caducado ni un dominio que apunta a otro sitio. Además, a veces duplica una redirección que ya hacía el alojamiento.

¿En el móvil sale lo mismo? Sí. Los navegadores móviles también avisan cuando la conexión no es segura, aunque el icono cambie de un navegador a otro.