¿Por qué mi sitio web dice "No seguro"? Causas y soluciones | We.Inc
Descubre por qué un navegador marca tu sitio como No seguro: no tiene HTTPS, el certificado caducó o no coincide, o hay contenido mixto. Soluciona cada causa y analiza HTML pegado en busca de enlaces http://.
Los navegadores muestran No seguro cuando una página no se sirve por una conexión HTTPS privada. Normalmente falla una de tres cosas: el sitio no tiene certificado SSL, el certificado caducó o no coincide con el dominio, o una página HTTPS todavía carga algunos archivos por http:// simple. Cada causa tiene su propia solución abajo.
Las causas habituales y por dónde empezar
Lo que ves
Causa probable
Primera solución
No seguro en todas las páginas, la dirección empieza por http://
No hay certificado, o no hay redirección a HTTPS
Activa el SSL en tu hosting y luego redirige http:// a https://
Aviso a página completa sobre la conexión
Certificado caducado, o emitido para otro nombre
Renuévalo, o vuelve a emitirlo cubriendo tanto example.com como www.example.com
Falta el candado solo en una página
Contenido mixto: un archivo de esa página se carga por http://
Cambia la dirección de ese archivo a https:// (analízala abajo)
Aviso solo en una página con formulario
El formulario envía a una dirección http://
Apunta el action del formulario a una dirección https://
HTTPS es la versión cifrada del protocolo de transferencia de la web, y el certificado SSL (más exactamente TLS) es el archivo que demuestra que tu dominio es dueño de la conexión. La página de ayuda de Chrome dice que en un sitio No seguro algo falla en la privacidad de la conexión, y que alguien podría ver la información que los visitantes envían o reciben. Revisa las causas en orden: primero el certificado, después la redirección y por último el contenido mixto.
Abre tu sitio escribiendo https:// delante. Si el navegador lo rechaza, el certificado falta, caducó o es de otro nombre.
Si https:// funciona pero http:// simple sigue cargando sin redirigir, añade una redirección permanente en tu hosting.
Si falta el candado en una página que sí carga por HTTPS, mira el código fuente de esa página y pégalo en el analizador de arriba.
Cambia cada dirección marcada a https:// (o elimina el archivo), publica y recarga la página.
La mayoría de los hostings y creadores de sitios web emiten certificados gratis y los renuevan automáticamente. Si el tuyo caducó, comprueba que el dominio sigue apuntando a ese hosting.
Cubre tanto el dominio sin www como la versión con www, porque los visitantes escriben ambos.
Las entradas antiguas de blog suelen incrustar imágenes desde direcciones http://. Busca "http://" en tu contenido y actualízalas en bloque.
Añade la cabecera Strict-Transport-Security solo cuando todas las páginas funcionen por HTTPS, porque después los navegadores se niegan a volver a http://.
Preguntas frecuentes
¿Es peligroso visitar un sitio web No seguro?
Leer una simple página informativa tiene poco riesgo, pero cualquier cosa que se escriba en ella (una contraseña, un número de tarjeta o un mensaje de formulario de contacto) puede leerse o alterarse por el camino. Por eso los navegadores avisan, y por eso los visitantes se van.
¿Cuánto dura un certificado SSL?
Depende del emisor. Let's Encrypt, una autoridad de certificación gratuita sin ánimo de lucro, dice que sus certificados por defecto son válidos durante 90 días, por eso importa la renovación automática. Los certificados de pago tienen sus propias condiciones.
¿No seguro perjudica mi posicionamiento en buscadores?
Google no ha publicado un peso que podamos citar, así que no vamos a inventarlo. El coste práctico son los visitantes que ven el aviso y se van antes de leer nada.
¿Por qué solo una página muestra el aviso?
Esa página casi siempre carga algo por http://: una imagen, un script, una fuente, un vídeo incrustado o el destino de un formulario. Pega su código fuente en el analizador para encontrar la dirección.
¿Puedo arreglar el contenido mixto sin editar cada página?
En parte. La directiva upgrade-insecure-requests de Content-Security-Policy indica a los navegadores que pidan cada recurso por HTTPS. Solo ayuda cuando el otro servidor también ofrece HTTPS, así que corregir las direcciones sigue siendo la solución limpia.
Causa 1: sin certificado o sin redirección
Si la barra de direcciones muestra http:// en todas las páginas, el sitio se sirve sin cifrado. Activa el SSL en el panel de tu hosting o de tu creador de sitios; la mayoría emite un certificado gratis en minutos.
Cuando https:// cargue, redirige todas las peticiones http:// a esa versión con una redirección permanente (301), para que los enlaces y marcadores antiguos lleguen a la versión segura.
Causa 2: certificado caducado o que no coincide
Un certificado tiene fecha de caducidad y enumera los nombres exactos que cubre. Cuando vence, o cuando alguien visita www.example.com pero el certificado solo nombra example.com, los navegadores muestran un error a página completa en lugar de una pequeña etiqueta.
Haz clic en el icono junto a la dirección para ver las fechas y los nombres del certificado, y luego renuévalo o vuelve a emitirlo desde tu hosting.
Causa 3: contenido mixto
MDN define el contenido mixto como una página cargada de forma segura que obtiene algunos recursos por HTTP. Los navegadores intentan pasar automáticamente a HTTPS las imágenes, el audio y el vídeo, y bloquean los scripts, hojas de estilo, iframes y fuentes que usan http://.
Los archivos bloqueados hacen que partes de la página fallen, mientras que los actualizados pueden fallar sin avisar si el otro servidor no tiene HTTPS. En cualquier caso, cambia la dirección a https://.
Qué archivos http:// corrigen los navegadores y cuáles bloquean
Esto sigue la referencia de contenido mixto de MDN. El navegador reescribe a HTTPS las peticiones actualizables; todo lo demás de la lista se bloquea.
Cómo tratan los navegadores el contenido mixto (MDN)
Recurso
Comportamiento del navegador
<img src>, <audio src>, <video src>, <source>
Se pasa a https:// automáticamente
Una imagen cuya dirección es una IP sin más, como http://93.184.215.14/
Se bloquea, no se actualiza
<img srcset> o imágenes dentro de <picture>
Se bloquea
<script src>, hojas de estilo <link href>, <iframe src>
Se bloquea
Fuentes web, llamadas fetch() y XMLHttpRequest, <object data>
Se bloquea
Dos cabeceras que ayudan cuando HTTPS ya funciona
Añádelas en tu hosting o CDN. La primera pide a los navegadores que actualicen cada petición; la segunda les dice que a partir de ahora usen solo HTTPS para este dominio.
Actualizar cada petición
Un parche temporal mientras corriges las direcciones antiguas. Solo funciona con archivos que también estén disponibles por HTTPS.
Strict-Transport-Security (HSTS)
max-age va en segundos; 31536000 es un año. Los navegadores que la vean no dejarán que los visitantes ignoren los errores de certificado, así que pruébala antes.
Analizador de contenido mixto
Pega el HTML de una página (clic derecho en la página, luego Ver código fuente de la página, luego copiar). El análisis se hace en tu navegador y no se sube nada.
HTML de la página
Se encontraron {n} direcciones http://.
No se encontraron direcciones http:// en lo que pegaste.
Dirección
Dónde
Qué pasa
Actualizable: el navegador prueba https:// por su cuenta, y el archivo desaparece si el servidor no tiene HTTPS
Bloqueado en una página HTTPS: cámbialo a https://
El formulario envía sus datos sin cifrar: cambia el action a https://