Certificado SSL: qué es, por qué aparece «No seguro» y cómo evitarlo

Un certificado SSL es un pequeño archivo instalado en el servidor de tu web que permite cifrar la conexión entre el navegador del visitante y la web. Cuando está bien puesto, la dirección empieza por https:// y el navegador no muestra ningún aviso; cuando falta, Chrome y el resto de navegadores marcan la página como «No seguro» al lado de la dirección.

Para un negocio, ese aviso es lo que más se nota. Un cliente que está a punto de dejar su teléfono en tu formulario y ve «No seguro» tiene un buen motivo para cerrar la pestaña.

Qué hace un certificado SSL

Hace dos cosas. Cifra los datos que viajan entre el visitante y el servidor, de modo que si alguien los intercepta (en una wifi pública, por ejemplo) no puede leerlos. Y acredita que la web a la que estás conectado corresponde al dominio que aparece en la barra, porque una autoridad de certificación lo ha comprobado antes de emitirlo.

El nombre técnico correcto hoy es TLS, que sustituyó a SSL hace años, pero todo el mundo, proveedores incluidos, sigue diciendo «certificado SSL». A efectos prácticos hablamos de lo mismo.

HTTP, HTTPS y el aviso de «No seguro»

HTTPS es el protocolo HTTP de siempre funcionando sobre esa conexión cifrada. Hace unos años los navegadores empezaron a marcar como «No seguro» las páginas sin HTTPS, primero las que tenían formularios y luego todas, y cada vez más navegadores avisan con una pantalla completa antes de abrir una web que solo funciona con HTTP.

Si tu web tiene certificado y aun así ves el aviso, las causas más comunes son estas:

• El certificado ha caducado y nadie lo ha renovado.
• Está emitido para tunegocio.es pero no para www.tunegocio.es, o al revés.
• La web carga alguna imagen, tipografía o script por http://, lo que se llama contenido mixto, y el candado desaparece o sale con advertencia.
• La web se sigue abriendo por http:// porque no hay una redirección automática a https://.

Los dos últimos casos son muy frecuentes en webs que pasaron a HTTPS tarde y con prisas, y se arreglan sin tocar el certificado.

Tipos de certificado SSL

Según lo que comprueba la autoridad antes de emitirlos, hay tres niveles. El de validación de dominio (DV) solo verifica que controlas el dominio, se emite en minutos y es el más común; Let's Encrypt los da gratis. El de validación de organización (OV) comprueba además que la empresa existe, y se ve sobre todo en webs corporativas grandes. El de validación extendida (EV) es el que hace la verificación más exhaustiva. Antes mostraba el nombre de la empresa en verde en la barra de direcciones, pero los navegadores actuales ya no lo hacen, así que esa ventaja visible ha desaparecido.

Según cuántos dominios cubren, también hay certificados para un solo dominio, multidominio y comodín (wildcard), que cubre todos los subdominios, como tienda.tunegocio.es o reservas.tunegocio.es.

Para una web de pyme, un certificado DV gratuito cifra la conexión igual que uno de pago. Lo que cambia es el nivel de verificación de la empresa y el soporte, y a una peluquería o a un taller eso no le aporta nada que el cliente vaya a ver. Si aun así quieres uno de pago, de forma orientativa van desde unos 10 € al año para un DV hasta varios cientos de euros para un EV.

Cuánto dura y cómo se renueva un certificado SSL

Los certificados caducan. Los de Let's Encrypt duran 90 días y están pensados para renovarse solos, y los de pago se han ido acortando: el sector ha acordado reducir todavía más su vigencia máxima en los próximos años. Con plazos así, renovar a mano es apostar a que algún día se olvide.

Lo que tienes que confirmar con tu proveedor es que la renovación sea automática y que alguien reciba un aviso si falla. Cuando un certificado caduca, el navegador ya no se conforma con el aviso discreto de la barra: muestra una pantalla de «Tu conexión no es privada» y muy pocos visitantes se atreven a seguir.

Certificado SSL y formularios

Si tu web tiene un formulario de contacto, de presupuesto o de reserva, en la práctica necesitas HTTPS. Los datos que la gente escribe (nombre, teléfono y, a veces, información sobre su salud o su vivienda) viajan desde su móvil hasta tu servidor, y el RGPD exige aplicar medidas de seguridad adecuadas para protegerlos. Cifrar la conexión es la más básica. Si tratas datos sensibles, como hace una clínica, consulta con un profesional qué medidas te corresponden.

El certificado protege el trayecto, pero no dice nada de dónde se guardan los mensajes, de quién accede al correo donde llegan o de qué pone tu política de privacidad. Para esa parte tienes más información en formularios web y RGPD y en el artículo sobre los textos legales obligatorios de una web.

Cómo comprobar el certificado de tu web

1. Escribe la dirección de tu web con http:// delante. Debería llevarte sola a https://.
2. Prueba con www y sin www. Las dos versiones tienen que acabar en la misma dirección segura.
3. Pulsa el icono que hay a la izquierda de la dirección y entra en la información del certificado. Mira la fecha de caducidad y para qué dominio está emitido.
4. Navega por varias páginas, sobre todo la de contacto, y fíjate en que no aparezca ningún aviso.

Si algo falla, pásale la lista a quien te lleva la web. Son cosas que se corrigen rápido cuando se sabe dónde mirar, y que encajan dentro de cualquier mantenimiento web decente.

Certificado incluido y renovado

En Webmensual el certificado SSL va incluido en la cuota, junto con el hosting, el dominio, el mantenimiento y la monitorización, así que no tienes que estar pendiente de renovarlo. Si tienes una clínica o cualquier negocio que recoge datos delicados, puedes ver cómo planteamos las webs para clínicas; si no, cuéntanos qué necesitas y te enviamos una propuesta en menos de 24 horas.