Forzar HTTPS en todo tu sitio WordPress (sin riesgos)

Conseguir un certificado SSL es la parte fácil: hoy la mayoría de los proveedores de hosting te dan uno gratis. Lo que confunde a la gente es que un certificado instalado en tu servidor no significa que tu sitio realmente lo use en todas partes. He visto muchísimos sitios con un certificado válido que siguen marcados como « No es seguro », porque la mitad de sus páginas e imágenes cargaban por HTTP sin cifrar. Forzar HTTPS es lo que cierra esa brecha. Aquí te explico cómo hacerlo de forma completa, y cómo hacerlo sin quedarte fuera de tu propio sitio.

Lo esencial

• Un certificado SSL habilita HTTPS; no lo fuerza: todavía tienes que redirigir y corregir el contenido mixto.
• Forzar HTTPS bien significa cuatro cosas: redirigir HTTP→HTTPS, proteger admin y login, corregir el contenido mixto y, opcionalmente, HSTS.
• El módulo está desactivado por defecto y con una advertencia, porque forzar HTTPS sin un certificado válido deja fuera a todo el mundo, incluido tú.
• HSTS es configurable (max-age de un año por defecto), con includeSubDomains y preload opcionales; este último es semipermanente, así que trátalo con cuidado.
• También ofrece vigilancia de la caducidad del certificado SSL, con un correo antes de que tu certificado expire.

¿Qué implica realmente forzar HTTPS?

Más que cambiar la URL del sitio en los ajustes. Un cambio completo necesita cuatro piezas:

1. Redirigir todo el tráfico HTTP a HTTPS. Cada petición HTTP debe devolver una redirección 301 permanente hacia la versión HTTPS de la misma URL, para indicar a navegadores y buscadores que el traslado es definitivo y que tu SEO se transfiera limpiamente.

2. Proteger el admin y el login. wp-admin y wp-login.php manejan contraseñas y cookies de sesión. Si cargan por HTTP, esas credenciales pueden ser interceptadas, así que deben forzarse a HTTPS de forma específica, no solo la parte pública del sitio.

3. Corregir el contenido mixto. Una advertencia de « contenido mixto » ocurre cuando una página HTTPS carga una imagen, un script o una hoja de estilos por HTTP. Los navegadores avisan o directamente bloquean el recurso, rompiendo tu diseño. Cada URL interna tiene que ser HTTPS.

4. Enviar cabeceras HSTS. HTTP Strict Transport Security le dice al navegador que use siempre HTTPS para tu dominio, de modo que tras la primera visita ni siquiera intente una conexión HTTP, cerrando la pequeña ventana que existe antes de que tu redirección actúe.

Esto es lo que arregla cada pieza, y la trampa que trae consigo:

Paso	Qué arregla	Cuidado con
Redirección 301 HTTP→HTTPS	Envía a cada visitante a la URL cifrada y transfiere el SEO limpiamente	Nunca la actives sin un certificado que funcione: deja fuera a todo el mundo, incluido tú
Proteger admin y login	Evita que contraseñas y cookies de sesión viajen por HTTP sin cifrar	Debe forzarse de forma específica, no solo la parte pública
Corregir el contenido mixto	Elimina el aviso « No es seguro » cuando una página HTTPS carga recursos HTTP	Cada URL de recurso interno tiene que ser HTTPS
Cabecera HSTS	Hace que el navegador use HTTPS antes incluso de enviar la primera petición	preload es casi permanente: de 6 a 12 meses para deshacerlo

¿Cómo se fuerza HTTPS en WordPress?

Para forzar HTTPS, asegúrate de tener un certificado SSL válido instalado y luego activa un módulo que redirija con un 301 todo el HTTP a HTTPS, fuerce wp-admin y el login por HTTPS, reescriba las URL con contenido mixto y, opcionalmente, envíe una cabecera HSTS. En Blaminhor Essentials, activa HTTPS Redirect, confirma que tu certificado carga sin errores y entonces enciende la redirección.

El módulo llega apagado y detrás de una advertencia a propósito: encenderlo sin un certificado que funcione redirigiría a todo el mundo hacia una página que no puede cargar. Una vez que hayas confirmado tu certificado (ver más abajo), actívalo y configura:

• Redirección automática — todo el tráfico HTTP se redirige a HTTPS con un 301.
• Admin y login — fuerza HTTPS en wp-admin y wp-login.php (activado por defecto).
• Corrección de contenido mixto — opcionalmente, reescribe a HTTPS las URL de recursos HTTP en la salida de la página.
• HSTS — activa la cabecera Strict-Transport-Security con un max-age configurable (un año por defecto), más includeSubDomains y preload opcionales.

Desactivado por defecto detrás de una advertencia clara, para que lo actives de forma deliberada, después de confirmar que tu certificado funciona.

¿Deberías activar el preload de HSTS?

HSTS en sí es una mejora segura y que vale la pena una vez que tu HTTPS es estable. Su opción de preload es otra historia, y es el único ajuste de esta lista que de verdad puede jugarte una mala pasada. Enviar tu dominio a la lista de precarga integrada en los navegadores graba « solo HTTPS » dentro del propio navegador, y retirarlo puede tardar de seis a doce meses en propagarse, tiempo durante el cual no puedes servir nada por HTTP, en ningún subdominio, por ningún motivo.

Así que activa el HSTS básico sin miedo, enciende includeSubDomains solo cuando estés seguro de que cada subdominio tiene HTTPS, y trata el preload como un compromiso casi permanente, no como una casilla que marcar « por seguridad extra ». El módulo mantiene estas opciones como activaciones separadas precisamente para que no enciendas la irreversible por accidente.

El resultado

Cada página, cada recurso, cada petición por una conexión cifrada: los navegadores muestran el candado, los buscadores favorecen la versión segura y los datos de tus visitantes viajan protegidos. Hecho una vez, y bien hecho, es de esas cosas en las que nunca vuelves a pensar, sobre todo con una alerta de caducidad vigilando el certificado en silencio.

Si forzar HTTPS forma parte de una mudanza mayor, combínalo con cambiar el dominio de tu WordPress de forma segura y, para el lado del login, con ocultar tu página de acceso de los bots.

HTTPS Redirect es una de las más de 20 herramientas de Blaminhor Essentials, gratuito y de código abierto en WordPress.org.

Descargar Blaminhor Essentials

– blaminhor