Sitio no seguro: por qué sale en tu web y cómo se arregla

Si tu web sale como sitio no seguro, lo normal es que falle el certificado SSL: ha caducado, no se ha renovado solo, la página carga algún elemento sin cifrar o directamente nunca se instaló. Tus datos y los de tus clientes no están en peligro por eso, pero el aviso espanta a la gente. Tiene arreglo, casi siempre rápido, y en este artículo te contamos cómo se diagnostica y qué puedes hacer tú.

Qué es el certificado SSL, explicado fácil

Cuando alguien entra en tu web, su navegador y tu servidor se mandan información: el formulario de contacto, el carrito, la contraseña del panel. El certificado SSL cifra esa conversación para que nadie en medio pueda leerla o modificarla. Es lo que hace que tu dirección empiece por https (la «s» es de seguro) en lugar de http.

El certificado lo emite una entidad de confianza, tiene fecha de caducidad y está ligado a tu dominio. Si cualquiera de esas tres cosas falla, el navegador deja de fiarse y avisa al visitante.

Por qué el navegador dice que tu sitio no es seguro

Chrome, Safari o Firefox revisan el certificado cada vez que alguien abre tu web. Según lo que encuentren, el aviso cambia:

• Si la web va por http, sin certificado, aparece «No seguro» junto a la dirección.
• Si el certificado ha caducado o no corresponde a tu dominio, sale una pantalla completa del tipo «La conexión no es privada» y el visitante tiene que pulsar en opciones avanzadas para seguir. Casi nadie lo hace.
• Si la página es https pero carga imágenes o archivos por http, el navegador quita el candado o bloquea esos elementos. A esto se le llama contenido mixto.

Hay un cuarto aviso que no tiene nada que ver con el SSL: la pantalla roja de «sitio engañoso» o «sitio peligroso». Esa la muestra Google cuando detecta malware o phishing. Si es tu caso, ve a nuestra guía de emergencia si han hackeado tu WordPress.

Las causas que vemos a menudo y cómo se arreglan

Causa	Qué ve tu cliente	Cómo se arregla
Certificado SSL caducado	Pantalla de «La conexión no es privada»	Renovarlo o reemitirlo desde el panel del hosting
Renovación automática fallida	Lo mismo, de un día para otro	Ver por qué falló (DNS, dominio movido, cuenta de hosting) y relanzar la renovación
Contenido mixto (http dentro de https)	Sin candado, o imágenes y estilos que no cargan	Cambiar a https las direcciones de WordPress y los enlaces internos que se quedaron en http
Web sin certificado	«No seguro» en la barra de direcciones	Activar un certificado gratuito y redirigir todo a https

La renovación fallida es la que más sorprende, porque «esto se renovaba solo». Pasa sobre todo cuando alguien cambia los DNS (la configuración que dice a internet en qué servidor está tu web), cuando la web se mueve de hosting o cuando el dominio apunta a un sitio y el certificado se pidió en otro. El certificado intenta renovarse, no puede comprobar que el dominio es tuyo y caduca sin que nadie se entere.

El contenido mixto suele aparecer después de pasar una web antigua a https. La portada se ve bien, pero en la base de datos siguen guardadas imágenes, logos o scripts con su dirección http de siempre. Un plugin de formularios o un tema viejo también pueden colarlo.

Qué ve tu cliente y por qué pierde confianza

Tu cliente no sabe qué es un certificado ni le importa. Ve un aviso de su navegador diciendo que algo no va bien y hace lo razonable: se va. Si tienes tienda online, no va a meter su tarjeta. Si eres una clínica o un despacho, no va a rellenar el formulario con sus datos.

Además, el aviso no distingue entre un descuido técnico y una web peligrosa. Para el visitante es lo mismo. Por eso conviene arreglarlo en cuanto lo veas, aunque la web «funcione».

Cómo lo arregla el hosting: Let’s Encrypt, gratis

Para la gran mayoría de webs de pymes no hace falta comprar nada. rel=»noopener»>Let’s Encrypt es una entidad sin ánimo de lucro que emite certificados gratuitos, y casi todos los hostings españoles lo tienen integrado: lo activas con un botón en el panel y se renueva automáticamente.

Una vez activo, en WordPress hay que comprobar que en Ajustes, Generales, las dos direcciones (la de WordPress y la del sitio) empiezan por https, y que todo el tráfico que entre por http se redirija a https. Si quedan restos de contenido mixto, se corrigen en la base de datos o con un plugin, con un backup hecho antes.

Los certificados van a durar cada vez menos

El rel=»noopener»>CA/Browser Forum, el grupo que fija las reglas de los certificados junto con los navegadores, aprobó en 2025 reducir su validez máxima. Desde el 15 de marzo de 2026 un certificado puede durar como mucho 200 días; desde el 15 de marzo de 2027, 100 días; y desde el 15 de marzo de 2029, 47 días.

Let’s Encrypt, que hoy emite certificados de 90 días, también los acorta: 64 días a partir del 10 de febrero de 2027 y 45 días a partir del 16 de febrero de 2028. En la práctica, renovar a mano deja de ser una opción. Si tu certificado no se renueva solo, vas a ver el aviso cada pocas semanas. Lo que hay que asegurar es que la renovación automática funciona y que alguien se entera si falla.

Lo que puedes hacer tú

Estos pasos no rompen nada y te ayudan a saber qué pasa antes de llamar a nadie:

1. Abre tu web en una ventana de incógnito y en otro navegador. Si el aviso sale en todos, el problema es de la web y no de tu ordenador.
2. Pulsa en el aviso o en el icono a la izquierda de la dirección y busca la información del certificado. Ahí verás la fecha de caducidad y para qué dominio se emitió.
3. Escribe la dirección completa con https:// delante. Si así carga bien, puede que solo falte la redirección de http a https.
4. Entra en el panel de tu hosting y busca la sección SSL o Let’s Encrypt. Mira si el certificado está activo y si muestra algún error de renovación.
5. Si ves el error, apunta el mensaje exacto o haz una captura. Al técnico le ahorra mucho tiempo.

Lo que no te recomendamos es cambiar tú las direcciones en Ajustes, Generales si no estás seguro de que el certificado funciona. Si pones https sin un certificado válido, puedes quedarte fuera del panel de WordPress.

Cuándo pedir ayuda

Si el panel del hosting no te deja reactivar el certificado, si el error vuelve cada pocas semanas o si el candado no aparece aunque el certificado esté bien, toca mirar más a fondo. Nosotros empezamos siempre por lo mismo: fecha y dominio del certificado, a dónde apuntan los DNS y qué elementos de la página siguen cargando por http. Con eso suele estar claro en pocos minutos.

La Puesta a Punto Express (27 €, pago único) incluye la revisión de seguridad, el backup previo y las actualizaciones, con un informe en PDF de lo que hemos encontrado. Si prefieres que alguien vigile la web siempre, los planes de mantenimiento llevan monitorización 24/7, así que un certificado caducado se detecta antes de que te lo diga un cliente. Puedes ver qué más revisamos en nuestra página de seguridad WordPress o repasar tú mismo la checklist de seguridad para pymes.

Preguntas frecuentes

¿Mi web está hackeada si sale No seguro?

Casi nunca. Ese aviso suele indicar un problema con el certificado SSL, no un ataque. Si la pantalla es roja y habla de sitio engañoso o peligroso, es otra cosa y conviene revisarla ya.

¿Cuánto cuesta un certificado SSL?

Para una web de pyme suele bastar uno gratuito de Let’s Encrypt, que casi todos los hostings activan desde el panel. Los de pago tienen sentido en casos muy concretos.

¿Cuánto tarda en arreglarse?

Si el fallo es solo del certificado, unos minutos tras reactivarlo en el hosting. El contenido mixto lleva algo más, porque hay que corregir los enlaces que siguen en http.

¿Afecta a Google que mi web salga como no segura?

Google recomienda servir las webs con HTTPS. Además, si el cliente ve el aviso y se va, pierdes visitas y contactos aunque la web siga indexada.

Un aviso de «No seguro» casi siempre es un certificado que nadie estaba mirando. Si quieres que lo revisemos con el resto de la web, empieza por la Puesta a Punto Express o escríbenos desde contacto.