≡En resumen
- HTTPS es HTTP dentro de un canal cifrado con TLS: cifra, protege la integridad de los datos y autentica al servidor.
- Necesitas un certificado de una autoridad de confianza; Let's Encrypt los emite gratis y de forma automática.
- HSTS obliga al navegador a usar siempre HTTPS con tu dominio y evita ataques de degradación.
- Google usa HTTPS como señal ligera de ranking desde 2014 y Chrome marca las webs HTTP como «No seguro».
- Migrar a HTTPS exige redirecciones 301, actualizar enlaces internos y eliminar el contenido mixto.
01 ¿Qué es HTTPS?
La «S» final es la diferencia. Con HTTP, los datos viajan en texto plano: cualquiera que controle un punto de la red, como una wifi pública o un proveedor, puede leerlos o inyectar contenido. Con HTTPS, eso deja de ser posible. Se reconoce por el prefijo https:// en la dirección y usa por defecto el puerto 443.
| Aspecto | HTTP | HTTPS |
|---|---|---|
| Cifrado | No: texto plano | Sí, con TLS |
| Integridad de los datos | Se pueden alterar por el camino | Cualquier alteración se detecta |
| Autenticación del servidor | No | Sí, con certificado |
| Puerto por defecto | 80 | 443 |
| Aviso en Chrome | «No seguro» | Ninguno |
| Funciones modernas del navegador | Muchas bloqueadas | Disponibles (geolocalización, service workers, HTTP/2 en navegadores) |
02 Cómo funciona HTTPS: TLS y el protocolo de enlace
Antes de enviar ninguna página, navegador y servidor hacen un protocolo de enlace TLS (handshake): acuerdan versión y algoritmos, el servidor presenta su certificado y ambos generan unas claves de sesión que solo ellos conocen. A partir de ahí, todo va cifrado. TLS es el sucesor de SSL, que está obsoleto; por costumbre se sigue hablando de «certificado SSL», pero lo que se usa hoy es TLS 1.2 o, preferiblemente, TLS 1.3.
-
1
El navegador saluda
Envía las versiones de TLS y los algoritmos que admite, y el dominio al que quiere conectarse.
-
2
El servidor responde con su certificado
Incluye su clave pública y la firma de una autoridad de certificación (CA).
-
3
El navegador verifica el certificado
Comprueba que lo firma una CA de confianza, que no ha caducado y que corresponde al dominio.
-
4
Se generan las claves de sesión
Ambos derivan una clave compartida sin enviarla por la red.
-
5
Empieza la comunicación cifrada
Las peticiones y respuestas HTTP viajan ya protegidas.
03 Certificados TLS: tipos y Let's Encrypt
El certificado es el documento digital que vincula tu dominio con una clave pública, firmado por una autoridad de certificación en la que confían los navegadores. Desde 2015, Let's Encrypt, un proyecto de la organización sin ánimo de lucro ISRG, emite certificados gratuitos para cualquier titular de un dominio, con emisión y renovación automáticas mediante el protocolo abierto ACME (RFC 8555).
DV (validación de dominio)
Comprueba solo que controlas el dominio. Es el que emite Let's Encrypt y el que necesita la inmensa mayoría de webs.
OV (validación de organización)
Añade la verificación de la empresa. El navegador lo muestra igual que un DV.
EV (validación extendida)
Verificación más exhaustiva. Los navegadores dejaron de destacarlo en la barra de direcciones.
Wildcard
Cubre todos los subdominios de un nivel, como *.tudominio.com. Te lo explicamos en la ficha del certificado wildcard.
04 HSTS: obliga al navegador a usar siempre HTTPS
Aunque redirijas HTTP a HTTPS, la primera petición de un usuario que escribe tu dominio sin https:// sale sin cifrar, y un atacante podría interceptarla. HSTS (HTTP Strict Transport Security, RFC 6797) lo resuelve: el servidor envía una cabecera que ordena al navegador usar solo HTTPS con ese dominio durante un tiempo determinado.
Strict-Transport-Security: max-age=31536000; includeSubDomains
max-age: segundos durante los que el navegador recordará la regla (31.536.000 = un año).includeSubDomains: aplica la regla a todos los subdominios.preload(opcional): permite incluir el dominio en la lista precargada de los navegadores; exige un max-age de al menos un año e includeSubDomains.
05 HTTPS y Google: señal de ranking y avisos de Chrome
El 6 de agosto de 2014, Google anunció que empezaba a usar HTTPS como señal de posicionamiento. La presentó como una señal muy ligera, que afectaba a menos del 1 % de las búsquedas y pesaba menos que la calidad del contenido. Hoy Google incluye la pregunta de si las páginas se sirven de forma segura entre los aspectos de experiencia en la página. En la práctica, el efecto indirecto es mayor: sin HTTPS pierdes la confianza del usuario antes de que lea nada.
| Fecha | Cambio |
|---|---|
| Agosto de 2014 | Google anuncia HTTPS como señal de ranking |
| Enero de 2017 (Chrome 56) | Chrome marca como «No seguro» las páginas HTTP con campos de contraseña o tarjeta |
| Julio de 2018 (Chrome 68) | Chrome marca como «No seguro» todas las páginas HTTP |
| Abril de 2026 (Chrome 147) | «Usar siempre conexiones seguras» se activa para usuarios con Protección mejorada |
| Octubre de 2026 (Chrome 154) | «Usar siempre conexiones seguras» se activa por defecto: Chrome avisa antes de abrir webs públicas sin HTTPS |
98 %
de las navegaciones a webs públicas en Chrome para Windows usan HTTPS
Fuente: Google, anuncio HTTPS by default (octubre de 2025)
>99 %
en Chrome para Android y Mac
Fuente: Google, anuncio HTTPS by default (octubre de 2025)
<1 %
de las búsquedas afectadas por la señal HTTPS en 2014
Fuente: Google Search Central Blog (2014)
La versión de Google Chrome de octubre de 2026 da un paso más: con la conexión segura por defecto, una web sin HTTPS mostrará una advertencia antes de cargar. Para un negocio, eso equivale a perder visitas.
06 Cómo pasar tu web de HTTP a HTTPS sin perder posicionamiento
-
1
Instala el certificado
Actívalo desde el panel de tu hosting o con un cliente ACME como Certbot, con renovación automática.
-
2
Redirige todo HTTP a HTTPS con 301
Cada URL antigua a su equivalente exacta, sin cadenas de redirecciones.
-
3
Actualiza enlaces internos, canonical y sitemap
Todo debe apuntar directamente a las URL con https://.
-
4
Elimina el contenido mixto
Imágenes, scripts o CSS cargados por HTTP dentro de una página HTTPS se bloquean o generan avisos.
-
5
Activa HSTS
Primero con un max-age corto y, cuando todo funcione, con un año.
-
6
Revisa Search Console
Comprueba que Google indexa las URL HTTPS y que no aparecen errores de rastreo.
La guía sobre la redirección 301 incluye el código para .htaccess, WordPress y Nginx. Mantener a la vez las versiones HTTP y HTTPS accesibles sin redirigir genera contenido duplicado y reparte señales entre dos URL.
07 Errores habituales con HTTPS
- ✓Certificado caducado porque la renovación no estaba automatizada.
- ✓Certificado que no cubre la versión con o sin www.
- ✓Contenido mixto: recursos cargados por http:// dentro de páginas seguras.
- ✓Redirecciones en cadena (HTTP sin www, luego HTTPS, luego con www).
- ✓Canonical o sitemap que siguen apuntando a http://.
- ✓HSTS con includeSubDomains activado sin revisar todos los subdominios.
- ✓Versiones de TLS antiguas (1.0 y 1.1) aún activas en el servidor.
Todos estos puntos se detectan en una auditoría web SEO, y es mucho más barato evitarlos desde el principio con un diseño web con SEO que ya contemple HTTPS, redirecciones y cabeceras de seguridad.
Preguntas frecuentes sobre HTTPS
Significa Hypertext Transfer Protocol Secure: es el protocolo HTTP funcionando dentro de una conexión cifrada con TLS, que protege los datos y verifica la identidad del servidor.
HTTP envía los datos en texto plano; HTTPS los cifra con TLS, detecta cualquier alteración y autentica al servidor con un certificado. HTTP usa el puerto 80 y HTTPS el 443.
TLS es el sucesor de SSL, que está obsoleto e inseguro. Se sigue diciendo «certificado SSL» por costumbre, pero las conexiones actuales usan TLS 1.2 o TLS 1.3.
Puede ser gratis: Let's Encrypt emite certificados de validación de dominio sin coste y la mayoría de hostings los integran. Los certificados OV o EV de pago solo aportan verificación adicional de la empresa.
Sí, pero poco de forma directa: Google lo anunció en 2014 como una señal ligera. El efecto mayor es indirecto, porque evita el aviso «No seguro» de Chrome y la desconfianza del usuario.
Porque la página se carga por HTTP o incluye recursos por HTTP. Instala un certificado, redirige todo a HTTPS y corrige el contenido mixto.
Es una cabecera HTTP, definida en el RFC 6797, que ordena al navegador conectarse a tu dominio solo por HTTPS durante un tiempo, lo que evita ataques de degradación a HTTP.
No. HTTPS garantiza que la conexión está cifrada y que hablas con ese dominio, pero una web fraudulenta también puede tenerlo. Comprueba siempre el dominio antes de introducir datos.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗