Por qué HTTPS ya no es opcional
Si tu web todavía carga por HTTP, tienes un problema doble. El primero es de confianza: Chrome, Firefox y Safari marcan tu sitio como «No seguro» en la barra de direcciones, y ese aviso aparece justo al lado de tu marca. El segundo es técnico: sin HTTPS no puedes usar HTTP/2 ni HTTP/3, que son los protocolos que hacen que una web moderna cargue rápido.
Google confirmó HTTPS como factor de posicionamiento en 2014. Es un factor de peso ligero, sí, pero no va solo: arrastra consigo la velocidad, la tasa de rebote y la conversión. Si vendes online, además, las pasarelas de pago y el RGPD directamente lo exigen.
La buena noticia es que el certificado ya no es el obstáculo. Let's Encrypt los emite gratis y la mayoría de paneles de hosting (Plesk, cPanel, Cloudflare) los renuevan solos cada 90 días. El trabajo real no está en el certificado, sino en todo lo que viene después.
Ojo: para Google, migrar web a HTTPS es cambiar de dominio
Este es el punto que casi todo el mundo subestima. Para un buscador, http://tudominio.com y https://tudominio.com son dos sitios distintos. No es un ajuste de configuración: es una migración de URLs completa, con las mismas reglas y los mismos riesgos que cambiar de dominio.
Eso significa que Google tiene que rastrear de nuevo todas tus URLs, entender que la versión antigua se ha movido de forma permanente y transferir la autoridad acumulada (enlaces, señales de marca, histórico) a la nueva. Ese proceso tarda entre unos días y varias semanas según el tamaño del sitio.
Si las redirecciones están bien, la transferencia es casi transparente y como mucho notarás un temblor de una o dos semanas. Si están mal —cadenas de redirecciones, 302 en vez de 301, páginas huérfanas—, lo que Google ve es un sitio nuevo sin historial y otro sitio antiguo lleno de errores. Ahí es donde la gente pierde la mitad del tráfico.
Cómo migrar tu web a HTTPS paso a paso
1. Haz un inventario y una copia de seguridad
Antes de tocar nada, exporta la lista completa de URLs indexadas. Puedes sacarla del sitemap, de Search Console (informe de páginas) o de un rastreo con Screaming Frog. Guarda también las posiciones actuales de tus 20-30 keywords principales: es tu línea base para saber después si algo ha ido mal. Y haz copia de la base de datos y de los ficheros.
2. Instala y verifica el certificado SSL
Instala el certificado desde tu panel de hosting y activa la renovación automática. Después compruébalo en una herramienta como SSL Labs: te interesa una nota A o A+, la cadena de certificación completa y que cubra tanto el dominio con www como sin www. Un certificado que solo cubre uno de los dos genera errores de seguridad en la mitad de tus visitas.
3. Redirige con 301 todo el HTTP a HTTPS
Esta es la parte crítica. La redirección debe ser 301 (permanente), no 302, y debe ser directa: de la URL antigua a su equivalente exacta en HTTPS, sin pasos intermedios. Nada de redirigirlo todo a la home, que es el error clásico y el que más tráfico se lleva por delante.
En Apache se resuelve en el .htaccess; en Nginx, en el bloque server; en WordPress puedes apoyarte en un plugin, pero la redirección a nivel de servidor siempre es más rápida y fiable. Unifica de paso la versión con y sin www para no dejar cuatro versiones del sitio vivas.
4. Elimina el contenido mixto
El contenido mixto aparece cuando la página carga por HTTPS pero algún recurso interno —una imagen, un CSS, un script, una fuente, un iframe— sigue apuntando a HTTP. El navegador bloquea esos recursos o quita el candado, y la web se ve rota o insegura pese a tener el certificado bien.
Haz una búsqueda y reemplazo en la base de datos de http://tudominio por https://tudominio, revisa los recursos externos (mapas, vídeos, chats, píxeles) y usa la consola del navegador o Screaming Frog para cazar los que queden. Es tedioso, pero es mecánico.
5. Actualiza enlaces internos, canonicals y sitemap
Aunque las 301 funcionen, no dejes que tus propios enlaces internos apunten a HTTP: cada salto es latencia y una señal confusa. Actualiza también las etiquetas canonical, los hreflang si tienes versiones por idioma, las URLs de los datos estructurados y el sitemap.xml, que debe listar solo URLs HTTPS.
6. Da de alta la nueva propiedad en Search Console
Search Console trata HTTP y HTTPS como propiedades separadas. Da de alta la versión HTTPS (o usa una propiedad de dominio, que engloba ambas), sube el nuevo sitemap y no elimines la propiedad antigua: durante unas semanas te sirve para vigilar cómo se vacía de impresiones mientras la nueva se llena.
7. Activa HSTS cuando todo esté estable
HSTS le dice al navegador que use siempre HTTPS en tu dominio, sin pasar ni una sola vez por HTTP. Es la guinda, pero actívalo solo cuando lleves un par de semanas sin incidencias: si lo pones antes y algo falla, los navegadores recordarán la instrucción y te costará revertir.
Los errores que sí te hacen perder posiciones
En las migraciones a HTTPS que hemos revisado, las caídas de tráfico casi nunca vienen del certificado. Vienen de estos cinco fallos:
| Error | Qué provoca | Cómo se evita |
|---|---|---|
| Redirigir todo a la home | Pérdida masiva de posiciones de páginas internas | Redirección 1:1, URL antigua → URL nueva equivalente |
| Usar 302 en vez de 301 | Google no transfiere la autoridad; mantiene la URL vieja | Revisar el código de estado con curl o una extensión |
| Cadenas de redirecciones | Pérdida de crawl budget y de velocidad | Un solo salto: HTTP sin www → HTTPS con www (o al revés) |
| Contenido mixto sin resolver | Aviso de «No seguro» y recursos bloqueados | Búsqueda y reemplazo en BD + revisión en consola |
| Bloquear HTTPS en robots.txt | Desindexación del sitio entero | Comprobar que el robots.txt servido en HTTPS es el correcto |
Hay un sexto error, más sutil: migrar en temporada alta. Si vendes muebles y tu pico es septiembre, o eres una bodega y facturas en Navidad, no hagas la migración esas semanas. Elige un periodo tranquilo y con margen para corregir.
Qué vigilar en las semanas siguientes
La migración no acaba cuando el candado aparece. Los primeros 30 días son de seguimiento activo:
- Cobertura en Search Console: las URLs HTTPS deben subir mientras las HTTP bajan. Si ambas caen, hay un problema.
- Errores 404 y 5xx: revísalos cada pocos días; suelen ser URLs que se te escaparon del mapeo de redirecciones.
- Posiciones de tus keywords principales: un temblor de una o dos semanas es normal; una caída sostenida a partir de la tercera no lo es.
- Velocidad y Core Web Vitals: con HTTP/2 activo deberían mejorar, no empeorar.
- Analítica: comprueba que el seguimiento sigue registrando y que no se ha duplicado la propiedad.
Un detalle que se olvida a menudo: los enlaces externos que apuntan a tu HTTP seguirán funcionando gracias a las 301, pero conviene pedir la actualización de los más importantes (directorios, prensa, partners). Cada salto evitado es autoridad que llega íntegra.
- Semana 1: vigilancia diaria de errores de rastreo y contenido mixto.
- Semana 2-3: comparación de posiciones contra tu línea base previa.
- Semana 4: activación de HSTS y actualización de backlinks clave.