Qué es un SSL y por qué lo necesitas

Qué hace exactamente

Cuando alguien envía un formulario en tu web —su nombre, su correo, su tarjeta— esa información viaja por internet pasando por varios equipos intermedios. Sin cifrar, cualquiera de ellos podría leerla.

Un certificado SSL cifra ese tránsito. Es lo que convierte http:// en https:// y lo que hace que el navegador deje de avisar de que tu web no es segura.

Por qué es obligatorio en la práctica

No hay una ley que lo exija literalmente para cualquier web, pero hay tres razones que lo hacen inevitable:

1. Los navegadores avisan. Chrome, Firefox y Safari marcan como “no seguro” cualquier sitio sin https. Ese aviso hace que la gente se vaya antes de leer nada.
2. El RGPD. Si recoges cualquier dato personal —un formulario de contacto ya lo es— tienes que aplicar medidas técnicas apropiadas. Enviar datos sin cifrar no lo es.
3. Google lo usa como señal, aunque sea pequeña.

Gratis o de pago

Aquí está la parte que interesa: para casi todas las webs, el gratuito es suficiente.

El cifrado de un certificado de Let’s Encrypt es exactamente el mismo que el de uno de 200 € al año. Lo que compras al pagar es un nivel de validación distinto —que la autoridad certificadora compruebe que tu empresa existe— y una garantía comercial. Eso importa en una entidad financiera o en un comercio grande; no en una web corporativa, un blog o una tienda pequeña.

Cualquier proveedor del ranking de hosting web incluye SSL gratuito y lo renueva solo. Si te lo cobran aparte, es un dato sobre el proveedor.

Los tres problemas habituales

Contenido mixto. La web carga con https pero alguna imagen o script se pide por http. El navegador lo marca. Se arregla actualizando esas URLs en tu contenido.

Falta la redirección. Tienes SSL pero la web sigue siendo accesible por http, así que Google ve dos versiones del mismo sitio. Hay que redirigir http a https de forma permanente.

Caduca sin avisar. Los certificados de Let’s Encrypt duran 90 días. Si tu hosting los renueva automáticamente, no pasa nada. Si lo instalaste a mano en un servidor propio, es tarea tuya, y es uno de los costes ocultos de tener un VPS no gestionado.

Cuándo revisarlo

Justo después de cambiar de proveedor. El certificado no viaja con la web: hay que activarlo en el servidor nuevo antes de mover los DNS. Es el fallo número uno de las migraciones y está detallado en la guía de cómo migrar sin perder SEO.

Y si estás empezando de cero, en qué es un hosting tienes el resto de piezas que necesita una web.