Un sitio seguro requiere tres pasos distintos: emitir un certificado, enviar a todos los visitantes a HTTPS y asegurarte de que nada en la página se siga cargando por HTTP sin cifrar. Cada paso resuelve un problema diferente, y hacerlos en el orden equivocado es lo que provoca advertencias en el navegador y bucles de redirección.
Esta guía te acompaña en los tres pasos en el hosting compartido y de revendedor de WebGee, con las herramientas que ya tienes en tu cPanel.
Puntos clave
- Los dominios nuevos están excluidos de AutoSSL por defecto, así que inclúyelos en SSL/TLS Status antes de ejecutar AutoSSL.
- Instala un certificado que funcione antes de forzar HTTPS; si no, todos tus visitantes verán una advertencia de seguridad en el navegador.
- La opción Force HTTPS Redirect de cPanel es la adecuada para casi cualquier sitio; usa .htaccess solo para reglas condicionales.
- Si falta el candado después de que la redirección funcione, normalmente se debe a contenido mixto, que la consola del navegador te muestra.
- Fuerza HTTPS en un único sitio y configura Cloudflare en Full (strict) para evitar bucles de redirección.
Antes de empezar
- Tu dominio apunta a tu cuenta de hosting de WebGee (comprueba sus servidores de nombres o su registro A).
- Puedes iniciar sesión en el cPanel de la cuenta.
- Si el sitio usa WordPress, puedes iniciar sesión en el escritorio de WordPress.
- Si el dominio está detrás de Cloudflare, puedes iniciar sesión en tu cuenta de Cloudflare.
Paso 1: emite un certificado gratuito con AutoSSL
WebGee emite y renueva certificados SSL gratuitos mediante AutoSSL durante toda la vida de la cuenta. Los certificados los emite Sectigo con cifrado de 256 bits, son válidos durante 90 días y se renuevan automáticamente antes de caducar.
Hay un detalle importante. Los dominios nuevos están excluidos de AutoSSL por defecto, así que ejecutar AutoSSL sin más no hace nada. Primero incluye los dominios:
- En cPanel, abre SSL/TLS Status en la sección Security.
- Marca la casilla de la cabecera de la tabla para seleccionar todos los dominios a la vez.
- Selecciona Include Domains during AutoSSL. Verás una confirmación con el nombre de cada dominio cuya exclusión se ha eliminado.
- Selecciona Run AutoSSL.
- Espera a que termine la comprobación y recarga la página.
Ahora cada dominio muestra un candado verde y AutoSSL Domain Validated. La emisión suele tardar un par de minutos y la inclusión se hace una sola vez: las renovaciones no requieren nada más por tu parte. Tienes la guía completa, con capturas de pantalla, en Instalar un certificado SSL gratuito.
Selecciónalo todo, no solo tu dominio principal
La lista incluye los subdominios de servicio que crea cPanel, como mail., webmail., cpanel., autodiscover. y autoconfig.. Inclúyelos todos. Los clientes de correo se conectan a mail., y Outlook y Apple Mail usan autodiscover. y autoconfig. para configurarse solos. Sin certificados, esas conexiones muestran advertencias de seguridad aunque el sitio web funcione bien.
Comprueba que el certificado funciona
Visita https://example.com y verifica que no aparece ninguna advertencia en el navegador, o haz la prueba desde un terminal:
curl -sI https://example.com | head -n 1La barra lateral del panel de cPanel también sirve como comprobación rápida: muestra Active en lugar de Inactive cuando el certificado ya está instalado.
Cuando AutoSSL no puede emitir el certificado
Si un dominio sigue sin certificado después de incluirlo, revisa estas posibles causas:
- El dominio no apunta a tu cuenta. AutoSSL demuestra que controlas el dominio descargando un archivo por HTTP, así que un dominio que apunta a otro lugar, o que aún se está propagando, no supera la validación. Comprueba qué servidores de nombres usa el dominio.
- El dominio está sujeto a restricciones de exportación. Sectigo no puede emitir certificados para dominios de determinadas jurisdicciones según la legislación de exportación de EE. UU. Let's Encrypt no tiene esa restricción; selecciónalo como proveedor en SSL/TLS Status.
- Necesitas un comodín (wildcard). AutoSSL solo emite certificados por nombre de host. Para
*.example.com, usa la herramienta Let's Encrypt™ SSL de cPanel. Los comodines se validan con un registro DNSTXT, algo automático si tu DNS está alojado en cPanel y un paso manual si está en Cloudflare o en un registrador. Consulta Instalar un certificado comodín con Let's Encrypt. - Es un subdominio de servicio de un dominio alias. cPanel no crea
mail.nicpanel.para los dominios alias (aparcados), así que AutoSSL no tiene nada que proteger. En su lugar, usa el nombre de hostmail.del dominio principal en los clientes de correo; la dirección del buzón no tiene por qué coincidir con el nombre de host del servidor. Consulta Por qué AutoSSL omite algunos subdominios de servicio.
Primero el certificado, después la redirección Si fuerzas HTTPS en un dominio sin un certificado que funcione, todos tus visitantes verán una advertencia de seguridad del navegador en lugar de tu sitio. Carga https://example.com directamente y confirma que funciona antes de activar cualquier redirección.
Paso 2: fuerza HTTPS
Instalar un certificado no envía a los visitantes a la versión segura de tu sitio. Eso es un ajuste aparte.
Usa la opción de cPanel
Es la opción adecuada para casi cualquier sitio. Funciona a nivel del servidor web, antes de que se ejecute el código de la aplicación, y no deja nada que deshacer si cambias de proveedor.
- En cPanel, abre Domains.
- Busca tu dominio en la lista.
- Activa Force HTTPS Redirect.
El cambio se aplica al instante. Para cambiar varios dominios a la vez, márcalos en la columna de la izquierda y selecciona Enable Force HTTPS Redirect encima de la tabla.
Actualiza WordPress para que coincida
WordPress guarda su propia dirección. Si todavía indica http://, seguirá generando enlaces HTTP y enviará a los visitantes de un lado a otro.
- En WordPress, ve a Settings → General.
- Establece tanto WordPress Address (URL) como Site Address (URL) en
https://example.com. - Selecciona Save Changes.
Usa .htaccess solo para reglas condicionales
Si necesitas un comportamiento que la opción de cPanel no permite, como forzar HTTPS en un subdirectorio pero no en otro, añade esto al principio del archivo .htaccess de la raíz de documentos, por encima de cualquier regla de reescritura existente. Pon cada directiva en su propia línea; Apache las rechaza si van juntas.
RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]Usa R=301, no R a secas: una redirección permanente permite que los buscadores traten la dirección HTTPS como canónica. Usa %{HTTP_HOST} en lugar de un dominio fijo, para que la regla funcione con todos los dominios y subdominios de la cuenta.
Comprueba la redirección
curl -sI http://example.com | head -n 3Lo que buscas es HTTP/1.1 301 Moved Permanently y una cabecera Location: que apunte a la dirección https://. Un 302 significa que la redirección es temporal. Encontrarás más detalles en Forzar HTTPS en tu sitio.
Evita los bucles de redirección
Un bucle de redirección casi siempre significa que HTTPS se está forzando en dos sitios a la vez, normalmente la opción de cPanel más una regla de .htaccess más un plugin. Elige uno y elimina los demás.
Detrás de Cloudflare, el modo SSL Flexible provoca el mismo bucle: Cloudflare solicita tu sitio por HTTP, tu servidor redirige a HTTPS y vuelta a empezar. Configura el modo SSL de Cloudflare en Full (strict), que funciona con tu certificado AutoSSL. Consulta Poner tu sitio detrás de Cloudflare.
Paso 3: corrige las advertencias de contenido mixto
Si la redirección funciona pero el navegador sigue mostrando No seguro, un candado roto o una página sin estilos, la página está cargando imágenes, hojas de estilo o scripts por HTTP sin cifrar. Eso es contenido mixto. Los navegadores bloquean directamente los scripts y las hojas de estilo, y muestran advertencias por las imágenes.
Localiza los recursos problemáticos
Abre la consola del navegador: en Chrome, Edge o Firefox, haz clic derecho en la página, elige Inspeccionar y luego Consola. En Safari, primero activa Desarrollo en las preferencias avanzadas. Recarga la página con la consola abierta. Cada advertencia indica una URL que empieza por http://, y esa es tu lista de cosas que corregir.
Corrígelos
- WordPress: confirma que ambas direcciones en Settings → General empiezan por
https://y, después, instala el plugin Really Simple SSL, que reescribe las referenciashttp://a medida que se sirven las páginas. Para una solución permanente, sustituye las URL en la base de datos con Better Search Replace, que gestiona correctamente los datos serializados, mientras que un simple buscar y reemplazar en SQL los corrompe. - Sitios hechos a mano: edita cada referencia para usar una ruta relativa, como
/logo.png, o una URL absolutahttps://. Las rutas relativas funcionan sea cual sea el protocolo o el dominio. - Recursos de terceros: cambia a la URL HTTPS si el sitio externo la ofrece. Si no, aloja el archivo tú mismo; no hay otra forma de cargarlo de forma segura.
La guía completa es Corregir las advertencias de contenido mixto.
Haz la prueba en una ventana privada Una copia de la página en caché puede seguir mostrando el comportamiento anterior. Vacía la caché de tu plugin de caché, purga Cloudflare si lo usas y revisa varias páginas, no solo la de inicio.
Resumen rápido
Incluye todos los dominios en AutoSSL y ejecútalo. Confirma que https:// carga sin problemas. Activa Force HTTPS Redirect en un único sitio y actualiza WordPress para que coincida. Después, usa la consola del navegador para eliminar los recursos http:// que queden hasta que el candado vuelva a aparecer en todas las páginas.
Preguntas frecuentes
¿Cuánto cuesta el certificado SSL?
Nada. WebGee emite y renueva certificados AutoSSL gratis durante toda la vida de la cuenta en el hosting compartido y de revendedor.
¿Tengo que renovar el certificado manualmente?
No. Los certificados AutoSSL son válidos durante 90 días y se renuevan automáticamente antes de caducar. Una vez que un dominio está incluido en AutoSSL, las renovaciones no requieren ninguna acción adicional.
¿Por qué AutoSSL no emite un certificado para mi dominio?
Las dos causas más habituales son que el dominio siga excluido de AutoSSL o que todavía no apunte a tu cuenta. Ambas se ven igual en la interfaz, así que comprueba primero la exclusión y después qué servidores de nombres usa el dominio.
¿Puede AutoSSL emitir un certificado comodín (wildcard)?
No. AutoSSL emite certificados por nombre de host. Para *.example.com, usa la herramienta Let's Encrypt SSL de cPanel, que valida los comodines mediante un registro DNS TXT.
