Cómo quitar el aviso «No seguro»

Qué significa realmente el aviso

Los navegadores muestran «No seguro» en la barra de direcciones cuando la propia página llegó por HTTP, sin cifrado. Cualquiera en la misma red wifi, un router comprometido o el operador de la red puede leer y modificar lo que el visitante envía y recibe, incluidas contraseñas y formularios de contacto. Un candado con advertencia, o una página https:// sin candado, suele indicar contenido mixto: la página es HTTPS, pero una imagen, un script o un formulario dentro de ella todavía usa http://.

Ahora el aviso es más difícil de ignorar. Con Chrome 154, publicado en octubre de 2026, la opción «Usar siempre conexiones seguras» viene activada por defecto: Chrome prueba primero HTTPS y, si falla, muestra una advertencia a pantalla completa y pide permiso antes de abrir un sitio HTTP público. Chrome también muestra este aviso cuando alguna redirección camino de tu página usa HTTP, aunque la página final sea HTTPS.

Paso 1: Instala un certificado gratuito

La mayoría de los hostings incluye un certificado gratuito. Busca «SSL/TLS», «Let’s Encrypt» o «AutoSSL» en tu panel y actívalo tanto para yourdomain.com como para www.yourdomain.com. Si gestionas tu propio servidor, Certbot obtiene un certificado gratuito de Let’s Encrypt y lo renueva automáticamente:

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
# Apache: install python3-certbot-apache and use --apache instead of --nginx

Pagar por un certificado no hace la conexión más segura. Un certificado gratuito validado por dominio ofrece el mismo cifrado y el mismo candado.

Paso 2: Redirige HTTP a HTTPS

El certificado por sí solo no basta: la gente sigue escribiendo tu dirección sin https:// y los enlaces antiguos apuntan a http://. Responde a cada petición HTTP con una redirección permanente (301) a la misma ruta en HTTPS. En nginx:

server {
    listen 80;
    listen [::]:80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://yourdomain.com$request_uri;
}

En Apache o en un hosting compartido, pon esto al principio del archivo .htaccess de la raíz de tu web:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Detrás de Cloudflare, activa SSL/TLS → Edge Certificates → Always Use HTTPS y pon el modo SSL en Full (strict) en cuanto tu servidor tenga su propio certificado válido. El modo «Flexible» combinado con una redirección en tu servidor es una causa habitual de bucles de redirección infinitos.

Paso 3: Pasa WordPress (o tu CMS) a https://

En WordPress, abre Ajustes → Generales y cambia tanto la Dirección de WordPress como la Dirección del sitio a https://. Los enlaces ya guardados dentro de entradas y widgets siguen diciendo http://. Con WP-CLI puedes sustituirlos de una vez; ejecuta antes la prueba en seco y haz una copia de seguridad de la base de datos antes de la ejecución real:

wp option get siteurl
wp search-replace 'http://yourdomain.com' 'https://yourdomain.com' --all-tables --dry-run
# looks right? back up the database, then run it again without --dry-run

Paso 4: Corrige el contenido mixto

Abre la página, pulsa F12 y mira la Consola: el navegador enumera cada recurso que bloqueó o degradó porque se pidió por http://. Cambia esas URL a https:// (o a rutas relativas) y sustituye cualquier widget de terceros que no admita HTTPS. La guía de redirecciones y contenido mixto tiene comandos de búsqueda y una línea de Content-Security-Policy que actualiza automáticamente las peticiones que queden.

Paso 5: Revisa cada salto de la cadena de redirecciones

El nuevo aviso de Chrome también salta cuando un paso de la redirección usa HTTP, por ejemplo https://yourdomain.com → http://www.yourdomain.com → https://www.yourdomain.com. Sigue la cadena desde cada dirección de partida y comprueba que solo la primera petición sea http://:

for u in http://yourdomain.com http://www.yourdomain.com https://yourdomain.com https://www.yourdomain.com; do
  echo "== $u"; curl -sIL "$u" | grep -iE '^(HTTP/|location:)'
done

Lo ideal es que cada dirección llegue a la página final con una sola redirección. Actualiza también los enlaces que controlas: tu Perfil de Empresa de Google, redes sociales, firma de correo y anuncios.

Paso 6: Fíjalo con HSTS

Cuando todas las páginas y subdominios funcionen por HTTPS, añade la cabecera Strict-Transport-Security para que los navegadores se salten HTTP por completo en las siguientes visitas. Empieza con un max-age corto y súbelo cuando estés seguro. Consulta HSTS explicado.

¿Sigues viendo un aviso?

• Un error de certificado a pantalla completa (por ejemplo NET::ERR_CERT_DATE_INVALID) es otro problema: consulta errores de certificado SSL explicados.
• Solo en algunas páginas: esas páginas todavía cargan algo por http://, o un formulario envía a una dirección http://.
• Solo para algunos visitantes: un marcador o enlace antiguo a http://, una redirección en caché o un subdominio sin certificado.
• Tras cambiar de hosting o CDN: puede que el nuevo servidor aún no tenga el certificado o sirva uno de otro nombre.

Qué comprueba HackGrade

El análisis gratuito de HackGrade comprueba la redirección de HTTP a HTTPS, si el certificado es de confianza y cuándo caduca, la versión de TLS, HSTS y el contenido mixto de tu página de inicio, y explica las primeras correcciones en lenguaje sencillo. Solo lee lo que puede ver el navegador de cualquier visitante.