Qué es HTTPS y qué es un certificado SSL: lo que el candado garantiza y lo que no

HTTPS es la versión cifrada de HTTP, el protocolo con el que tu navegador pide las páginas a una web: lo que viaja entre los dos va en clave, y nadie en el camino puede leerlo ni cambiarlo. Un certificado SSL es el archivo que lo hace posible: demuestra que estás conectado al dominio de la barra de direcciones y permite cifrar la conexión. Por eso el candado dice que la conexión es privada, no que el negocio sea de fiar.

Un certificado SSL puede no costar nada: los hay gratuitos, y hay empresas de hosting que los instalan y renuevan por ti. Eso sí, caduca: si vence, el navegador muestra un aviso en lugar de tu página, así que la renovación tiene que ser automática.

Piénsalo como el correo. Con HTTP, tu web manda postales que cualquiera puede leer por el camino, como la red wifi de un café. Con HTTPS van en sobre cerrado, y tu navegador revisa antes la cédula del destinatario: el certificado.

¿Qué es HTTPS?

HTTPS es HTTP, el protocolo con el que el navegador y la web se intercambian las páginas, con una capa de cifrado llamada TLS; la «S» es de secure, «seguro». Se reconoce porque la dirección empieza por https://. Todo lo que viaja, también lo que escribes en un formulario, va cifrado y llega intacto.

Sin HTTPS, advierte la ayuda de Chrome, alguien podría ver y cambiar lo que envías y recibes, y la página aparece como «No seguro». Con HTTPS, la conexión te protege de espías y de quien intenta suplantar a un sitio de confianza, según el Informe de transparencia de Google.

Hoy es lo normal: en la semana del 11 de octubre de 2026, el 99 % de las páginas abiertas con Chrome en Android y el 95 % en Windows llegaron por HTTPS, según ese informe; en México, el 93 %.

¿Qué es un certificado SSL y para qué sirve?

Un certificado SSL es un archivo digital instalado en el servidor de una web que sirve para dos cosas: demostrar al navegador que esa web es de verdad el dominio de la dirección y permitir que la conexión se cifre. Lo emite una autoridad de certificación, en la que confían los navegadores, tras comprobar que controlas el dominio.

Por dentro lleva el dominio que cubre, quién lo emitió, sus fechas de validez y una clave pública con la que el navegador comprueba que el servidor tiene la clave privada correspondiente. Si algo no cuadra, avisa.

¿SSL o TLS?

Son el mismo invento con dos nombres. SSL fue el primero, y su última versión, SSL 3.0, se retiró en 2015 por no ser lo bastante segura. De su sucesor, TLS, se retiraron las versiones 1.0 y 1.1 en marzo de 2021; hoy se usan TLS 1.2 y TLS 1.3, publicado en 2018 como la RFC 8446. «Certificado SSL» es solo el nombre de siempre.

Un certificado real, por dentro

Lo revisamos el 19 de octubre de 2026 con openssl, una herramienta que muestra el certificado de una web: le quedaban 52 días. Nadie lo renovará a mano: el hosting del blog, Vercel, intenta renovarlo entre 14 y 30 días antes, según su documentación.

¿Cómo funciona HTTPS?

Antes de mandar la página, el navegador y el servidor hacen un «apretón de manos» (handshake): acuerdan cómo cifrar, calculan una clave que solo conocen ellos sin enviarla por la red y el servidor presenta su certificado. Si el navegador lo acepta, desde ahí todo viaja cifrado.

¿Cuánto tarda? Lo medimos el 19 de octubre de 2026 desde una computadora en Ecuador con curl, un programa que pide páginas web, abriendo 10 veces la portada de este blog. La conexión quedó lista a los 76 milisegundos (mediana) y el apretón de manos terminó a los 200: el cifrado sumó unos 120 milisegundos.

Una prueba aparte con Node.js midió un apretón de manos de 119 milisegundos. Y solo pasa al abrir la conexión: al pedir dos páginas seguidas por la misma, la segunda no repitió el saludo.

¿El candado significa que la web es segura?

No. El candado solo dice que la conexión está cifrada y que el certificado corresponde al dominio de la barra de direcciones. No dice quién está detrás ni si es honrado: el certificado solo prueba que quien lo pidió controla ese dominio, y una web falsa que imita a tu banco también puede tener uno.

En junio de 2019, el FBI alertó de campañas de phishing en webs con HTTPS y pidió no fiarse de un sitio solo por el candado. En 2023, el equipo de seguridad de Chrome escribió que casi todas las webs de phishing usan HTTPS y que, en un estudio suyo de 2021, solo el 11 % de los participantes entendía qué significa el candado.

Por eso Chrome lo cambió en su versión 117, de septiembre de 2023, por un icono neutro de ajustes; las páginas sin HTTPS siguen marcadas como «No seguro». Revisa siempre que el dominio esté bien escrito, sobre todo si llegaste por un enlace.

¿Cuánto cuesta un certificado SSL?

Puede costar cero. Let’s Encrypt, una autoridad de certificación sin fines de lucro, no cobra por sus certificados, y la mayoría de los navegadores y sistemas operativos confían en ellos. Algunos hostings los instalan y renuevan solos; otros cobran una pequeña tarifa por gestionarlos, según la propia Let’s Encrypt.

Los de Let’s Encrypt son de validación de dominio (DV): comprueban que controlas el dominio y nada más. Los de pago pueden ser de validación de organización (OV) o extendida (EV), que además verifican a la empresa, un trámite que no se puede automatizar.

Esa verificación extra ya casi no se ve: Chrome quitó el nombre de la empresa de la barra de direcciones en su versión 77, y Safari hizo un cambio parecido en 2018, explica el equipo de Chrome. Nuestra recomendación: a un negocio le basta un DV gratuito.

¿Qué pasa si caduca el certificado SSL?

La web sigue publicada, pero los visitantes no la ven: Chrome muestra el aviso «La conexión no es privada» con el código NET::ERR_CERT_DATE_INVALID, dos mensajes que recoge su página de ayuda sobre errores. Según el código fuente de Chromium, ese código significa que, para el reloj del equipo, el certificado caducó o aún no es válido.

Si la web usa HSTS, una cabecera que obliga al navegador a entrar siempre por HTTPS, ni siquiera se puede seguir: la norma de HSTS pide cortar la conexión sin opción de continuar. El mismo código sale si el reloj del visitante está mal, según la ayuda de Chrome.

Y cada vez duran menos. En abril de 2025, el CA/Browser Forum, donde autoridades de certificación y navegadores acuerdan las reglas, aprobó un calendario para recortar su vida máxima, con el voto de Apple, Google, Microsoft y Mozilla. Así quedó en sus requisitos básicos:

Let’s Encrypt va más rápido: sus certificados, que hoy duran 90 días, pasarán a 64 días el 10 de febrero de 2027 y a 45 en 2028. Así que renovar a mano deja de ser opción: tiene que ser automático, y alguien debe recibir el aviso si falla.

¿Qué cambia para tu negocio?

Tres cosas, aunque tu web no venda en línea: lo que escriben tus clientes viaja protegido, el navegador no la marca como «No seguro» y se puede instalar como app. A cambio, alguien debe vigilar que el certificado se renueve a tiempo.

• Formularios y pagos. Lo que escriben tus clientes, del teléfono a la tarjeta, viaja cifrado; sin HTTPS, alguien en la misma red podría leerlo.
• El aviso de «No seguro». Chrome marca así toda página HTTP desde julio de 2018, con su versión 68. Y en octubre de 2025 Google anunció que Chrome 154 activaría por defecto «Usar siempre conexiones seguras», que pide permiso antes de abrir por primera vez un sitio público sin HTTPS.
• Tu web como app. Para instalarse en el celular como una PWA, la web tiene que publicarse por HTTPS: es uno de los requisitos de instalación de Chrome.

Lo que se exagera sobre HTTPS y los certificados SSL

• «Si tiene candado, es segura». Solo la conexión lo es: las webs de phishing también lo tienen.
• «El SSL es caro». Hay certificados gratuitos en los que confían los navegadores; lo que puede costar es la gestión.
• «Solo lo necesitan las tiendas en línea». Chrome marca «No seguro» cualquier página sin HTTPS.
• «Con HTTPS subes en Google». En 2014 Google lo anunció como una señal muy ligera, que afectaba a menos del 1 % de las búsquedas. Hoy su guía de experiencia de página aclara que, aparte de las Core Web Vitals, aspectos como servir las páginas de forma segura no ayudan directamente a posicionar.

¿Qué revisar hoy en tu web?

Cuatro comprobaciones rápidas, sin instalar nada:

1. Escribe tu dirección con http:// delante y comprueba que salta sola a https://.
2. En la computadora (u ordenador), haz clic en el icono a la izquierda de la dirección y abre la información de la conexión: verás el emisor y la fecha de caducidad.
3. Pregunta a quien gestiona tu hosting si la renovación es automática y a qué correo llega el aviso si falla.
4. Si tienes formularios, reservas o pagos, confirma que esas páginas también van por HTTPS, no solo la portada.

La primera la hicimos con curl en este blog el 19 de octubre de 2026: responde con una redirección permanente (código 308) hacia HTTPS y envía la cabecera HSTS, que hace que el navegador use HTTPS durante dos años.

Lo esencial: tu web necesita HTTPS y un certificado que se renueve solo.

Y si prefieres que de eso se encargue alguien más, las webs que hacemos en Vertize Plus Business salen publicadas con HTTPS, con su candado de seguridad.

Preguntas frecuentes