Si quiere forzar HTTPS y arreglar el contenido mixto en WordPress, normalmente está persiguiendo una de dos cosas: un sitio que todavía carga por el inseguro http://, o la temida advertencia de candado “no del todo seguro”, en la que el certificado está instalado pero el navegador sigue quejándose. Las dos tienen arreglo, y ninguna da tanto miedo como parece. Esta guía explica cómo pasar todo su sitio a HTTPS, redirigir la dirección insegura de antes y encontrar las advertencias de contenido mixto que queden — paso a paso, en palabras sencillas.
HTTPS y contenido mixto: qué pasa de verdad
HTTPS es la versión cifrada, con candado, de la dirección de su sitio. Para servirla, su sitio necesita un certificado SSL/TLS. Cuando está puesto, cada página y cada recurso de ella — imágenes, scripts, hojas de estilos, fuentes — también debería cargar por https://.
El contenido mixto es lo que pasa cuando la página en sí carga de forma segura por HTTPS pero algo en ella todavía apunta a una vieja dirección http://. El navegador ve un elemento inseguro en una página que por lo demás es segura y rebaja toda la página — esa es la advertencia del candado roto o de “no seguro” que ven sus visitantes. Arreglarlo significa pasar a HTTPS hasta el último recurso. Este es el orden para hacerlo.
Paso 1: confirme que de verdad tiene un certificado SSL
Nada de esto funciona sin un certificado válido. Visite su sitio escribiendo https:// delante de la dirección. Si carga con un candado (aunque esté roto), tiene un certificado — salte este paso. Si recibe un error de seguridad completo o la página no carga por HTTPS, primero necesita un certificado. La mayoría de los proveedores modernos los emiten gratis y automáticamente; si el suyo no lo hace, eso es lo primero que hay que resolver.
Paso 2: ponga en https la dirección de WordPress y la del sitio
WordPress guarda la dirección de su propio sitio en dos ajustes, y tienen que decir https. Vaya a Ajustes → Generales y revise:
- Dirección de WordPress (URL)
- Dirección del sitio (URL)
Si alguna todavía empieza por http://, cámbiela a https:// y guarde. (Una advertencia: si esos campos aparecen en gris, se están configurando en otro lado — déjelos en paz y pase al siguiente paso.) Después de guardar puede que se cierre su sesión; vuelva a entrar en la dirección https://. Esto le dice a WordPress que arme los enlaces y cargue sus propios archivos de forma segura.
Paso 3: fuerce HTTPS redirigiendo el tráfico HTTP
Configurar la dirección no basta por sí solo — también quiere que cualquiera que llegue a la vieja versión http:// sea enviado automáticamente a la segura, para que nadie caiga nunca en la página insegura. Lo mejor es hacer esta redirección a nivel del servidor. En una configuración típica de Apache, vive en el archivo .htaccess (un archivo de ajustes del servidor):
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]Si no se siente cómodo editando archivos del servidor — y no hay nada de qué avergonzarse, es fácil equivocarse — un plugin bien valorado como “Really Simple SSL” puede aplicar la redirección y resolver por usted la mayoría de los arreglos de contenido mixto en un par de clics. En un buen hosting administrado, esta redirección ya está puesta y no tiene que tocar nada.
Paso 4: encuentre y arregle las advertencias de contenido mixto
Con el sitio en HTTPS y redirigiendo, la mayoría de las advertencias desaparecen. Lo que queda normalmente son viejos enlaces http:// metidos en su contenido y en sus ajustes. Para encontrarlos:
Deje que el navegador le diga qué es inseguro
Abra una página que muestre la advertencia, haga clic derecho, elija Inspeccionar y vea la pestaña Consola. El navegador muestra cada elemento de contenido mixto con su URL exacta — esa es su lista de pendientes. Normalmente son unas pocas imágenes, un video insertado o un script que todavía apunta a http://.
Arregle los enlaces http:// escritos a mano en su contenido y en su base de datos
La causa más común son enlaces viejos guardados directamente en entradas, páginas y widgets — por ejemplo, una imagen insertada hace años con una dirección http://. Editarlos uno por uno funciona pero es pesado. El arreglo confiable es un buscar y reemplazar en toda la base de datos, cambiando http://yourdomain.com por https://yourdomain.com. Una herramienta confiable como el plugin “Better Search Replace” lo hace de forma segura — y como es un cambio en la base de datos, haga antes una copia de seguridad. Nunca haga un buscar y reemplazar directo en un sitio en vivo sin una.
Actualice todo lo que apunte a su propio sitio con la dirección vieja
Revise las opciones del tema, los ajustes del constructor de páginas y cualquier enlace escrito a mano en código o CSS personalizado en busca de referencias http:// sueltas a su propio dominio, y cámbielas a https://.
Paso 5: pruébelo como debe ser
No se fíe de una sola página. Cargue varias páginas del sitio y confirme que el candado está limpio y entero en cada una — la página de inicio, una página de contenido y cualquiera con contenido insertado o un formulario. Revíselo en su teléfono además de en su computadora. Si queda alguna advertencia, vuelva a la Consola del navegador en esa página concreta; le dirá el recurso exacto que sigue cargando por http:// para que arregle ese elemento.
El atajo administrado: un HTTPS automático que simplemente funciona
Todo lo anterior lo puede hacer usted mismo, pero es delicado, y es el tipo de tarea en la que un ajuste olvidado deja una advertencia que le cuesta, sin hacer ruido, la confianza de los visitantes. En nuestro hosting de WordPress administrado, el HTTPS simplemente está resuelto: los certificados se emiten y se renuevan automáticamente, la redirección de HTTP a HTTPS ya está puesta y el tráfico va por una red mundial rápida. No hay certificado que comprar, ni renovación que recordar, ni advertencia de certificado caducado con la que despertarse. Si un sitio que mudamos llega con problemas de contenido mixto, resolverlos es parte de mudar su sitio — nuestro equipo con base en EE. UU. se encarga en lugar de darle una lista.
Un HTTPS limpio también es un punto básico de seguridad, no solo algo estético — está en nuestra lista de seguridad de WordPress más amplia, y es parte de por qué WordPress puede ser una plataforma de verdad segura cuando se cuida lo fundamental.
En resumen
Para forzar HTTPS y eliminar el contenido mixto: confirme su certificado, ponga en https las dos URL del sitio, redirija el tráfico HTTP a HTTPS, encuentre los recursos http:// que queden con la Consola del navegador y un buscar y reemplazar cuidadoso en la base de datos, y pruebe cada página clave — también en el teléfono. Haga una copia de seguridad antes de cualquier cambio en la base de datos. Y si prefiere que esto simplemente nunca sea su problema, un hosting administrado con HTTPS automático significa que el candado sigue en verde sin que toque un ajuste. Vea lo que incluye en nuestra página de hosting, o mantenga un HTTPS limpio en su lista de mantenimiento habitual.