Certificados TLS gratuitos y HTTPS
Esta guía está traducida del inglés. Algunas páginas enlazadas solo están disponibles en inglés.
Cómo funciona el HTTPS automático, cómo emitir y renovar certificados y por qué nunca debes publicar con HTTP.
HTTPS ya no es opcional. Los navegadores etiquetan el HTTP simple como «No seguro», los buscadores lo posicionan peor y cualquier inicio de sesión o pago a través de él es realmente inseguro.
Cómo funciona aquí
Usamos certificados de Let's Encrypt (gratuitos, automatizados y de amplia confianza), emitidos y renovados con Certbot. Cuando asocias un dominio a un sitio, podemos solicitar un certificado automáticamente y renovarlo antes de que caduque. Nunca pagas y nunca tienes que acordarte.
Emitir un certificado
Asegúrate de que el DNS del dominio ya apunta a nosotros: la autoridad de certificación valida que controlas el nombre, y solo puede hacerlo si el nombre resuelve aquí.
En /panel/web, abre el sitio, elige SSL/TLS y añade el dominio.
Solicitamos el certificado y lo instalamos. Normalmente tarda segundos.
Conviene solicitar tanto example.com como www.example.com para que ninguno muestre una advertencia.
Renovación
Las renovaciones son automáticas. Puedes confirmar el calendario en el panel y comprobar la fecha de caducidad en cualquier momento:
echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null \
| openssl x509 -noout -subject -datesSi una renovación falla, casi siempre es porque el dominio dejó de resolver hacia nosotros (el DNS cambió), el puerto 80 está bloqueado (el validador lo necesita) o se alcanzó un límite de frecuencia tras varios fallos. Corrige la causa y reintenta manualmente.
Redirigir HTTP a HTTPS
Un certificado por sí solo no impide que la gente llegue a la versión HTTP simple. Añade una redirección permanente; consulta Forzar HTTPS y redirecciones. Una vez activa, todos los visitantes llegan a la versión segura aunque escriban http://.
Pruébalo bien
curl -I http://example.com # should be a 301 to https://
curl -I https://example.com # should be 200Y revisa el contenido mixto: una página servida por HTTPS que carga una imagen o un script por HTTP simple es marcada como insegura por los navegadores. Carga todo desde URL con https://.
Detrás de un proxy o CDN
Si pones un CDN delante de nosotros, la cadena de certificados va CDN → visitante Y CDN → origen. Ambos tramos necesitan certificados. Nuestro lado emite para el origen; el CDN emite para el nombre que ve el visitante. Consulta ¿Qué es un CDN y necesitas uno?.
Lecturas relacionadas