Sitio no seguro aunque tienes SSL: causas y solución

Contrataste el certificado SSL, tu proveedor te confirmó que ya está instalado y aun así un cliente te manda captura: Chrome dice "No seguro" junto a tu dirección. O peor, no dice nada y simplemente se va sin comprar. Es una de las consultas más comunes en soporte y casi nunca significa que el certificado no sirva. Lo normal es que algo alrededor del certificado esté mal acomodado.

Aquí van las causas que más vemos, en orden de frecuencia, y cómo identificar cuál es la tuya sin saber programar.

Primero: qué te está diciendo el navegador

Abre tu sitio en el celular y toca el ícono que aparece a la izquierda de la dirección. El mensaje cambia según el problema:

• "La conexión no es segura" con advertencia a pantalla completa: el certificado venció, no corresponde a ese dominio o no es válido. El navegador ni siquiera deja entrar sin dar clic en "Avanzado".
• "No seguro" en la barra, pero la página carga normal: el certificado está bien, pero la página llega por http:// o trae piezas que no van cifradas.
• Candado con un aviso de "partes de esta página no son seguras": es contenido mixto, la causa número uno en sitios que acaban de instalar SSL.

Toma captura de lo que veas. Si después le escribes a soporte, esa imagen ahorra media hora de preguntas.

Causa 1: contenido mixto

Tu página principal llega cifrada por https://, pero dentro de ella hay imágenes, tipografías o scripts que se piden por http://. El navegador detecta que una parte del paquete viaja sin protección y quita el candado.

Pasa mucho en sitios que existían antes de tener SSL. Piensa en una mueblería en León que subió su catálogo hace cinco años: cada foto quedó guardada en la base de datos con la dirección vieja, empezando con http://. Instalar el certificado no cambia esas direcciones. Hay que reemplazarlas.

Lugares típicos donde se esconden:

• Fotos de productos o del blog subidas hace años.
• El logo puesto a mano en el encabezado o en el pie de página.
• Un video o mapa incrustado con un código copiado de otro sitio.
• Un botón de WhatsApp o de redes sociales instalado con un script viejo.
• La configuración general de WordPress, donde la "Dirección del sitio" sigue diciendo http://.

En WordPress, el arreglo suele ser cambiar esa dirección en Ajustes, Generales y luego hacer una búsqueda y reemplazo en la base de datos de http://tudominio.mx por https://tudominio.mx. Ese reemplazo conviene hacerlo con un respaldo reciente a la mano. Si no tienes claro cuándo fue el último, revisa primero cada cuánto respaldar y cómo comprobar que el respaldo sirve.

Causa 2: falta la redirección de http a https

Tener certificado no obliga a nadie a usarlo. Si alguien escribe tudominio.mx sin más, o entra desde una liga vieja en Facebook, su navegador puede abrir la versión http://. Esa versión sigue existiendo y aparece como "No seguro".

La solución es una redirección permanente: cualquier visita que llegue por http:// se manda automáticamente a https://. En muchos paneles de hosting es una casilla. Si no la encuentras, pídela a soporte con esas palabras: "redirección 301 de http a https para todo el dominio".

Prueba rápida: escribe en el celular http://tudominio.mx a mano, con la http incluida. Si la dirección cambia sola a https://, la redirección funciona.

Causa 3: el certificado no cubre www, o al revés

Para un certificado, tudominio.mx y www.tudominio.mx son nombres distintos. Si el certificado se emitió solo para uno, el otro da error de "conexión no segura".

Ejemplo real de mostrador: un despacho contable en Guadalajara imprime tarjetas con www.despacho.mx, pero el certificado se pidió solo para despacho.mx. En su computadora todo funciona porque siempre entran sin www. Sus clientes, que copian la tarjeta tal cual, ven la advertencia roja.

Prueba las dos versiones en el celular. Si una falla, hay que volver a emitir el certificado incluyendo ambos nombres. Lo mismo aplica para subdominios como tienda. o citas., que necesitan estar cubiertos por el certificado o tener el suyo.

Causa 4: el certificado venció o no se renovó

Los certificados gratuitos duran pocos meses y dependen de una renovación automática. Si cambiaste los DNS, moviste el sitio de proveedor o el dominio apunta a otro lado, esa renovación puede fallar sin que nadie se entere. Aquí la advertencia es de pantalla completa y espanta a cualquiera. Lo explicamos a fondo en qué ve tu cliente cuando el SSL vence y cómo evitarlo.

Causa 5: el problema está en el dispositivo del cliente

Menos común, pero pasa. Si solo un cliente ve el error y nadie más:

• Revisa que la fecha y hora de su celular estén bien. Un teléfono con la fecha atrasada rechaza certificados válidos.
• Pregunta si está conectado a una red pública, como la de un hotel o un aeropuerto, que intercepta la conexión.
• Equipos muy viejos con sistemas sin actualizar a veces no reconocen certificados recientes.

Si desde tu celular, con datos móviles y sin wifi, el sitio carga con candado, lo más probable es que el problema sea de su lado.

Lo que no debes hacer

No le digas a tus clientes que "den clic en avanzado y continúen". Les estás enseñando a ignorar una advertencia que existe para protegerlos, y la mayoría no lo hará: cerrará la pestaña.

Tampoco instales tres plugins distintos que prometen "arreglar el SSL". Cada uno intenta forzar las redirecciones a su manera y es fácil terminar con un sitio que se redirige a sí mismo en un ciclo infinito. Un cambio bien hecho en la configuración vale más que varios parches encimados.

Cómo pedir ayuda sin perder tiempo

Si después de estas pruebas no das con la causa, escríbele a tu proveedor con esta información:

1. La dirección exacta que falla, incluyendo si lleva www o no.
2. La captura del mensaje del navegador.
3. En qué dispositivo y red pasó.
4. Si hiciste algún cambio reciente: migración, nuevo tema, cambio de DNS.

Con eso, cualquier técnico puede distinguir en minutos si es contenido mixto, redirección o un certificado mal emitido.

Si quieres revisar qué tipo de certificado necesita tu dominio, o confirmar que cubre todas las direcciones que usan tus clientes, en koode.mx puedes ver las opciones de certificados SSL para tu sitio y preguntar en español antes de contratar.