Cómo instalar SSL en WordPress

WordPress impulsa el 43% de la web. Añadir SSL/HTTPS implica tres pasos: obtener un certificado, instalarlo en tu servidor y actualizar WordPress para usar URLs HTTPS. Esta guía cubre los tres.

Paso 1: Obtener un certificado

La mayoría de los hosts de WordPress incluyen SSL gratuito; verifica primero:

Si tu host no proporciona SSL, obtén un certificado gratuito desde GetHTTPS e instálalo vía cPanel, Nginx o Apache.

Paso 2: Actualizar las URLs de WordPress

Después de que el certificado esté instalado en el servidor, indica a WordPress que use HTTPS:

Método A: Configuración de WordPress (más fácil)

1. Ve a Settings → General
2. Cambia ambas URLs de http:// a https://:
   • WordPress Address (URL): https://yourdomain.com
   • Site Address (URL): https://yourdomain.com
3. Haz clic en Save Changes

Se cerrará tu sesión; inicia sesión de nuevo en la nueva URL https://.

Método B: wp-config.php (si no puedes acceder al panel)

Añade antes de /* That's all, stop editing! */:

define('WP_HOME', 'https://yourdomain.com');
define('WP_SITEURL', 'https://yourdomain.com');
define('FORCE_SSL_ADMIN', true);

Paso 3: Corregir contenido mixto

WordPress almacena URLs absolutas en la base de datos (contenido de entradas, imágenes, texto de widgets). Después de cambiar a HTTPS, las referencias antiguas con http:// causan advertencias de contenido mixto.

Solución rápida: plugin Really Simple SSL

1. Instala el plugin Really Simple SSL
2. Actívalo — detecta tu certificado y corrige la mayoría del contenido mixto automáticamente
3. Añade la cabecera upgrade-insecure-requests y reescribe URLs dinámicamente

Solución permanente: buscar-reemplazar en la base de datos

Para una solución limpia sin dependencia de un plugin:

# Using WP-CLI (recommended)
wp search-replace 'http://yourdomain.com' 'https://yourdomain.com' --all-tables

O usa el plugin Better Search Replace:

1. Buscar: http://yourdomain.com
2. Reemplazar con: https://yourdomain.com
3. Seleccionar todas las tablas
4. Ejecutar (haz un dry run primero)

SQL manual (avanzado)

UPDATE wp_options SET option_value = REPLACE(option_value, 'http://yourdomain.com', 'https://yourdomain.com') WHERE option_name IN ('home', 'siteurl');
UPDATE wp_posts SET post_content = REPLACE(post_content, 'http://yourdomain.com', 'https://yourdomain.com');
UPDATE wp_postmeta SET meta_value = REPLACE(meta_value, 'http://yourdomain.com', 'https://yourdomain.com');

Paso 4: Configurar la redirección HTTP → HTTPS

Asegúrate de que todos los visitantes sean servidos con HTTPS, incluso si escriben http://:

.htaccess (Apache — lo más común para WordPress)

Añade al inicio de tu archivo .htaccess (antes de las reglas de WordPress):

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Nginx

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$host$request_uri;
}

Consulta nuestra guía completa de redirección.

Paso 5: Actualizar servicios externos

Después de migrar a HTTPS, actualiza tus URLs en:

• Google Search Console — añadir la propiedad https://
• Google Analytics — Configuración → URL predeterminada → cambiar a https://
• Sitemap — regenerar con URLs https:// (Yoast/Rank Math lo hace automáticamente)
• Perfiles sociales — enlaces de Facebook, Twitter a tu sitio
• CDN — si usas un CDN, asegúrate de que sirva sobre HTTPS

Verificar

1. Visita https://yourdomain.com — el icono de candado debe aparecer
2. Abre DevTools (F12) → Consola — busca advertencias de contenido mixto
3. Prueba algunas páginas internas y entradas del blog
4. Revisa Google Search Console en busca de errores de rastreo

Solución de problemas

Bucle de redirección después de habilitar HTTPS

Común cuando estás detrás de un proxy (Cloudflare, balanceador de carga). El proxy envía HTTP a WordPress, que redirige a HTTPS, que el proxy envía como HTTP otra vez. Solución:

// Add to wp-config.php if behind a proxy
if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') {
    $_SERVER['HTTPS'] = 'on';
}

«Tu conexión no es privada» después de instalar SSL

El certificado puede no estar correctamente instalado a nivel del servidor. Verifica la configuración del servidor (Nginx o Apache) antes de buscar problemas en WordPress.

Algunas imágenes/recursos aún cargan por HTTP

Ejecuta el buscar-reemplazar en la base de datos (Paso 3). Revisa los archivos del tema y el CSS personalizado en busca de URLs http:// codificadas. Usa la cabecera CSP upgrade-insecure-requests como red de seguridad.

Preguntas frecuentes

¿Necesito un plugin para SSL en WordPress?

No. Un plugin como Really Simple SSL facilita la transición (especialmente el contenido mixto), pero no es obligatorio. Puedes actualizar las URLs manualmente y añadir redirecciones en .htaccess. El plugin añade una pequeña sobrecarga en cada carga de página.

¿Cambiar a HTTPS afectará mi SEO?

Temporalmente, puede haber fluctuaciones menores en el posicionamiento mientras Google vuelve a rastrear tu sitio. A largo plazo, HTTPS mejora el SEO, ya que es una señal de posicionamiento de Google. Usa redirecciones 301 de HTTP a HTTPS para que la autoridad de enlaces se transfiera.

¿Puedo usar un certificado gratuito de Let’s Encrypt con WordPress?

Sí. Los certificados de Let’s Encrypt funcionan con cualquier sitio web, incluyendo WordPress. Obtén uno desde GetHTTPS e instálalo en tu servidor o vía cPanel. El certificado no sabe ni le importa que WordPress se esté ejecutando detrás.

¿Cómo renuevo el certificado para WordPress?

El certificado se instala a nivel del servidor, no en WordPress. Renuévalo obteniendo un nuevo certificado y reemplazando los archivos en tu servidor. WordPress en sí no gestiona certificados.

¿Qué hay de WooCommerce / comercio electrónico en WordPress?

Un certificado DV gratuito de Let’s Encrypt es suficiente para WooCommerce. PCI DSS no requiere certificados OV o EV — requiere cifrado, que DV proporciona. Tu pasarela de pago (Stripe, PayPal, Square) maneja los datos más sensibles de tarjetas de pago de todas formas.

¿Puedo usar WordPress Multisite con SSL?

Sí. Para WordPress Multisite con subdominios (por ejemplo, site1.example.com, site2.example.com), usa un certificado comodín (*.example.com). Para Multisite con subdirectorios (por ejemplo, example.com/site1/), un certificado de dominio único funciona.

Mi host dice que proporciona SSL gratuito. ¿Todavía necesito GetHTTPS?

Si tu host proporciona SSL gratuito (vía AutoSSL o un sistema similar), úsalo, ya que es la ruta más sencilla. GetHTTPS es para casos donde tu host no ofrece SSL gratuito, necesitas un tipo de certificado específico (comodín, multidominio), o quieres controlar la clave privada tú mismo.