¿Por qué mi web dice que no es segura? Causas y soluciones del candado rojo
Si tu navegador muestra un candado rojo o la leyenda «No seguro» junto a la dirección de tu web, estás perdiendo visitantes. Según datos de SSL Dragon, el 70% de los usuarios abandona un sitio que muestra advertencias de seguridad. Y con el 87% de los sitios web usando HTTPS (W3Techs, enero 2026), los navegadores son cada vez más agresivos al marcar los que no lo tienen: Chrome añade la etiqueta «No seguro» en texto rojo, y Firefox bloquea contenido activo como JavaScript.
El candado rojo no es solo un problema estético: afecta tu posicionamiento (Google penaliza los sitios sin SSL desde 2014), destruye la confianza del visitante y, si manejas formularios o tiendas, puede hacer que pierdas ventas directamente. En este artículo te explico las causas reales del candado rojo y cómo solucionarlas en tu WordPress.
Qué significa realmente el candado rojo
El candado verde indica que tu sitio tiene un certificado SSL válido y que la conexión entre el navegador del visitante y tu servidor está cifrada. El candado rojo (o la ausencia de candado) puede significar una de varias cosas:
- No tienes certificado SSL: tu sitio solo carga por HTTP, sin cifrado.
- Tu certificado SSL ha caducado: los certificados gratuitos de Let’s Encrypt se renuevan cada 90 días; si la renovación automática falla, caduca.
- Mezcla de contenido (mixed content): tu sitio carga por HTTPS pero algunos recursos (imágenes, scripts, fuentes) se cargan por HTTP, y el navegador lo detecta.
- Certificado autofirmado o de una autoridad no reconocida: el navegador no confía en quien emitió el certificado.
- Error de configuración del servidor: redirecciones incorrectas, cadena de certificados incompleta o problemas con el CDN.
1. No tienes certificado SSL: la causa más frecuente
Aunque el 87% de los sitios web ya usa HTTPS (W3Techs, enero 2026), aún hay millones de sitios sin certificado. Los proveedores de hosting como SiteGround, Hostinger o Cloudways incluyen certificados SSL gratuitos de Let’s Encrypt con activación automática, pero no siempre se instalan al crear el sitio.
Cómo solucionarlo:
- Accede al panel de tu hosting (cPanel, hPanel o el panel proprietary).
- Busca la sección «SSL/TLS» o «Let’s Encrypt».
- Instala el certificado para tu dominio. Si tu hosting usa LiteSpeed, el certificado se instala y renueva automáticamente.
- Una vez instalado, activa la redirección HTTPS forzada desde tu plugin de seguridad o desde el archivo .htaccess.
Si tu hosting no ofrece SSL gratuito, puedes usar la versión gratuita de ZeroSSL o adquirir un certificado de pago a través de tu proveedor.
2. Certificado SSL caducado
Los certificados de Let’s Encrypt tienen una validez de 90 días y se renuevan automáticamente en la mayoría de hosts. Pero si cambiaste de hosting, si tu DNS apunta a otro servidor, o si hubo un problema con el proveedor, la renovación puede fallar silenciosamente. Tu sitio carga normalmente, pero cuando el certificado vence, el navegador muestra el candado rojo.
Cómo verificarlo: haz clic en el candado (o en «No seguro») en la barra de direcciones y busca la fecha de expiración del certificado. Si ya venció, reinstala el certificado desde el panel de tu hosting o contacta a tu proveedor.
Consejo: añade tu dominio a UptimeRobot y configura alertas de expiración SSL a 30, 15 y 7 días antes del vencimiento.
3. Mezcla de contenido (mixed content)
Este es uno de los problemas más sutiles. Tu sitio carga por HTTPS, pero si una imagen, un script o una fuente se carga por HTTP, el navegador detecta «mezcla de contenido» y muestra el candado rojo (o advierte que la conexión no es totalmente segura). Según datos de Bitverzo, el 16% de los sitios web todavía opera sin cifrado HTTPS, y entre esos y los que tienen certificado pero con mixed content, la señal de no seguridad es clara para el navegador.
Cómo solucionarlo en WordPress:
- Instala un plugin como Really Simple SSL (tiene modo gratuito) que detecta y corrige automáticamente las URLs de HTTP a HTTPS.
- Revisa tus widgets, menús y campos personalizados: a veces contienen URLs hardcodeadas con http://.
- Si usas Google Analytics, Tag Manager o CDN, asegúrate de que las URLs de esos servicios apunten a HTTPS.
- Verifica que tus imágenes subidas a la biblioteca de medios usen la versión https://.
4. Certificado autofirmado o de autoridad no reconocida
Un certificado autofirmado cifra la conexión, pero el navegador no reconoce a quien lo emitió, así que muestra una advertencia. Esto es común en servidores de desarrollo o en instalaciones manuales de certificados. Si tu sitio está en producción, necesitas un certificado emitido por una autoridad reconocida (Let’s Encrypt, DigiCert, Comodo, etc.).
Cómo verificarlo: haz clic en el candado, luego en «Certificado» o «Connection is secure» y revisa el «Emitter» (emisor). Si dice «Self-Signed» o tu propio nombre, necesitas reemplazarlo por uno de una CA pública.
5. Error de configuración del servidor o CDN
Si usas un CDN como Cloudflare, StackPath o BunnyCDN, un mal puede causar candado rojo. Por ejemplo, si Cloudflare está en modo «Flexible» (conecta por HTTP a tu servidor), tu sitio carga con HTTPS desde el CDN pero sin cifrado entre el CDN y tu servidor. El resultado es un candado verde que en realidad no protege nada, o un candado rojo si el CDN detecta la inconsistencia.
Solución: configura tu CDN en modo «Full (Strict)» si tu servidor tiene SSL propio, o «Full» si tiene SSL pero no es de una CA reconocida. Nunca uses «Flexible» en producción.
Checklist rápido: resolver el candado rojo en 15 minutos
- Verifica si tienes SSL: en el panel de tu hosting, busca la sección SSL/TLS.
- Instálalo si no lo tienes: la mayoría de hosts lo ofrecen gratuito con un clic.
- Revisa la fecha de expiración: si venció, reinstala o renueva.
- Activa la redirección HTTPS: fuerza HTTPS desde .htaccess o tu plugin de seguridad.
- Corrige el mixed content: usa Really Simple SSL o revisa las URLs manualmente.
- Revisa tu CDN: si usas Cloudflare, verifica que esté en modo Full.
Preguntas frecuentes
¿Un certificado SSL gratuito es tan seguro como uno de pago?
Para la mayoría de sitios web, sí. Los certificados de Let’s Encrypt ofrecen el mismo nivel de cifrado (256-bit) que los de pago. La diferencia principal es que los de pago incluyen verificación de negocio (OV o EV), que muestra el nombre de tu empresa en el certificado. Para blogs, tiendas pequeñas y sitios informativos, el gratuito es suficiente.
¿Por qué mi sitio muestra candado verde pero el navegador dice «parcialmente seguro»?
Esto indica mixed content: tu sitio carga por HTTPS pero algún recurso (imagen, script, fuente) se carga por HTTP. Revisa los recursos externos, los widgets y las URLs en tus páginas. Plugins como Really Simple SSL detectan y corrigen esto automáticamente.
¿Cuánto tarda en activarse un certificado SSL nuevo?
Si usas Let’s Encrypt a través de tu hosting, generalmente se activa en menos de 5 minutos. Si lo instalas manualmente, puede tardar hasta 24 horas en propagarse. Durante ese tiempo, tu sitio puede mostrar el candado rojo temporalmente.
¿Puede el candado rojo afectar mi posicionamiento en Google?
Sí. Google ha confirmado que HTTPS es un factor de ranking desde 2014. Un sitio sin SSL o con certificado caducado puede perder posiciones frente a competidores que sí lo tienen. Además, Chrome muestra «No seguro» en la barra de direcciones, lo que reduce la tasa de clics.
¿Qué hago si mi hosting no ofrece SSL gratuito?
Puedes obtener certificados gratuitos de Let’s Encrypt o ZeroSSL e instalarlos manualmente desde el panel de tu hosting. Si tu hosting no soporta instalación manual, considera migrar a un proveedor que sí lo ofrezca: la mayoría de los hosts actuales lo incluyen.
El candado rojo se resuelve en la mayoría de los casos en menos de 15 minutos: instalar o renovar el certificado SSL y corregir la mezcla de contenido. Si ya verificaste todo esto y el problema persiste, puede haber un conflicto con tu CDN o una configuración del servidor que requiere revisión técnica. En ese caso, contacta a tu proveedor de hosting con el diagnóstico que hiciste: te ahorrarás tiempo y evitarás que te den una respuesta genérica.
Si necesitas indexar rápidamente tu web después de los cambios de SSL, revisa nuestra guía sobre cómo indexar tu web en Google rápido. Y si tu web desapareció de los resultados de búsqueda, te puede interesar el artículo sobre qué hacer si tu hosting se cae a cada rato.