Si tu WordPress te está dando la lata con el certificado SSL, respira. No eres el único. Cada vez que un hosting cambia de servidor, caduca un certificado o se activa Cloudflare, aparecen los típicos avisos de «conexión no segura». Y aunque parezca un marrón técnico, la mayoría de las veces se arregla en menos de diez minutos si sabes dónde mirar.
El error SSL en WordPress se traduce casi siempre en un mensaje del navegador tipo «NET::ERR_CERT_DATE_INVALID» o «Tu conexión no es privada». Detrás hay tres culpables habituales: un certificado mal instalado, un plugin que se pelea con HTTPS o una configuración de servidor que no redirige bien. Vamos a desmontarlo paso a paso.
Qué es realmente el SSL y por qué tu WordPress lo necesita sí o sí
SSL (Secure Sockets Layer) es el protocolo que cifra lo que viaja entre el servidor y el navegador del visitante. Hoy en día se usa TLS, que es su versión moderna, pero todo el mundo sigue llamándolo SSL por costumbre. Sin ese cifrado, cualquiera en la misma red WiFi podría leer contraseñas, correos o datos de tarjetas.
Google lleva años marcando como «No seguro» cualquier web sin HTTPS. Y no es un detalle estético: afecta al SEO en WordPress y a la confianza del usuario. Si tu formulario de contacto o tu carrito de compra no van cifrados, estás perdiendo ventas y credibilidad a partes iguales.
Hay un matiz que mucha gente pasa por alto: tener el certificado instalado no garantiza que WordPress lo esté usando. Puedes tener un certificado perfecto en el servidor y que tu web siga cargando en http:// porque el sitio tiene mal configurada la URL en la base de datos. Ese es el origen del 40% de los errores SSL que veo.
Errores más comunes al activar SSL en WordPress (y cómo los detecto)
Cuando un cliente me dice «es que no me carga el candado», lo primero que hago es abrir la web en una ventana de incógnito y mirar el certificado desde el navegador. Eso me dice al instante si el problema es del servidor o del propio WordPress.
Si el certificado está bien emitido y vigente, entonces el fallo está dentro de WordPress. Los tres sospechosos habituales son:
- URL del sitio mal configurada: en Ajustes > Generales, la dirección de WordPress y la del sitio deben empezar por https://. Si una está en http y la otra en https, se genera un bucle de redirección que rompe el panel de administración.
- Plugins de caché o de seguridad: algunos como Really Simple SSL hacen su trabajo, pero si tienes dos plugins de redirección activos a la vez, se pisan y provocan error 500 o demasiadas redirecciones.
- Contenido mixto: imágenes, fuentes o scripts que se cargan desde http:// dentro de una página https. El navegador bloquea esos recursos y muestra el candado roto aunque el certificado sea válido.
Otro error clásico es activar SSL cuando el hosting no lo soporta. Hay hostings baratos que cobran aparte por el certificado o que directamente no permiten HTTPS en sus planes básicos. Antes de tocar nada, confirma con tu proveedor que tienes un certificado SSL activo en WordPress. Si no lo tienes, no hay plugin que lo arregle.
Cómo forzar HTTPS en WordPress con .htaccess sin cargarte la web
El archivo .htaccess es el portero de tu servidor Apache. Ahí puedes decirle que todo el que entre por http:// sea redirigido a https:// de forma automática. Es la solución más limpia y la que menos peso añade a la web.
Antes de tocar el .htaccess, haz una copia de seguridad. Siempre. Un punto y coma mal puesto deja la web inaccesible y te obliga a entrar por FTP a restaurar.
Estas son las líneas que uso yo y que funcionan en el 95% de los hostings con Apache:
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
La primera línea activa el motor de reescritura. La segunda comprueba si la conexión no es segura. La tercera redirige todo a la versión HTTPS con un código 301, que es el que Google entiende como redirección permanente. Si tu hosting usa Nginx en lugar de Apache, el .htaccess no se lee y tendrás que pedirle al soporte que añada la redirección en la configuración del servidor.
Un detalle que casi nadie menciona: si tienes Cloudflare delante, la redirección con .htaccess puede entrar en conflicto con la opción «Always Use HTTPS» de Cloudflare. Elige una de las dos, no las dos a la vez.
Qué hacer si después de forzar HTTPS el panel de WordPress no carga
Te pasa algo muy concreto: la web pública va bien por https, pero cuando intentas entrar a /wp-admin te salta un bucle infinito o un error de conexión. Eso ocurre porque la URL de WordPress en la base de datos sigue en http y el servidor redirige antes de que WordPress pueda corregirlo.
La solución rápida es editar el archivo wp-config.php y añadir estas dos líneas antes de la frase «/* That’s all, stop editing! */»:
define(‘WP_HOME’,’https://tudominio.com’);
define(‘WP_SITEURL’,’https://tudominio.com’);
Con eso fuerzas las URLs correctas sin tocar la base de datos. Una vez dentro del panel,
