Cómo activar SSL y forzar HTTPS en tu tienda WooCommerce

Cada vez que un cliente ingresa su tarjeta de crédito en una tienda sin HTTPS, sus datos viajan expuestos. No es una posibilidad remota: es el comportamiento por defecto de cualquier servidor que no tenga SSL configurado correctamente. Y aunque el certificado esté instalado, si tu tienda no fuerza el redireccionamiento a HTTPS, parte del tráfico sigue circulando sin cifrado.

Esta guía cubre exactamente eso: cómo obtener el certificado, instalarlo, forzar HTTPS en toda la tienda y verificar que no quede ningún recurso cargando por HTTP. Sin rodeos.

Por qué SSL y HTTPS son obligatorios, no opcionales

Un sitio sin HTTPS muestra la advertencia «No seguro» en Chrome y Firefox antes de que el usuario llegue al checkout. Eso solo ya destruye la conversión. Pero el problema va más allá de la percepción: sin SSL, cualquier dato que el usuario envíe —contraseñas, números de tarjeta, dirección— puede ser interceptado en redes públicas o comprometidas.

Desde el lado del SEO, Google usa HTTPS como señal de ranking desde 2014. Un sitio HTTP compite en desventaja, especialmente en nichos donde la competencia ya migró hace años.

¿Y la confianza del cliente? En LatAm, donde el comercio electrónico sigue creciendo y los compradores son cada vez más exigentes con la seguridad, el candado en la barra de direcciones es un filtro real de decisión de compra. No tenerlo es ceder terreno sin necesidad.

Antes de empezar: tres cosas que tenés que verificar

No arranques el proceso sin revisar estos puntos. Saltearlos puede costarte una tienda caída o un certificado mal instalado que genera más advertencias que las que resuelve.

Tu proveedor de hosting ya puede incluir SSL: Hostinger, SiteGround, Cloudflare y la mayoría de los proveedores modernos ofrecen certificados Let’s Encrypt sin costo adicional. Revisá el panel de control antes de comprar uno por separado.
Hacé un backup completo antes de tocar cualquier configuración: Cambiar el protocolo del sitio afecta URLs, redirecciones y configuraciones de caché. Un respaldo previo te salva si algo sale mal.
Revisá la compatibilidad de tus plugins: Algunos plugins de pago o de integración con plataformas externas tienen URLs hardcodeadas en HTTP. Identificarlos antes evita errores de contenido mixto después.

Guía paso a paso para activar SSL y forzar HTTPS

Paso 1: Obtener el certificado SSL

La opción más accesible es Let’s Encrypt, una autoridad certificadora gratuita y ampliamente adoptada. La mayoría de los paneles de hosting (cPanel, Plesk, DirectAdmin) tienen integración directa con Let’s Encrypt: buscás la sección «SSL/TLS» o «Certificados», seleccionás tu dominio y lo activás en un par de clics.

Si tu tienda maneja volúmenes altos o necesitás un certificado wildcard para subdominios, considerá opciones pagas como Comodo o DigiCert. Para la mayoría de las tiendas WooCommerce, Let’s Encrypt es más que suficiente.

Paso 2: Instalar el certificado en el servidor

Si tu hosting lo gestiona automáticamente, este paso ya está hecho. Si instalás el certificado de forma manual, necesitás tres archivos: el certificado (.crt), la clave privada (.key) y la cadena de certificación (CA bundle). Subís esos archivos desde el panel de SSL de tu hosting y los asociás al dominio correspondiente.

Después de instalarlo, verificá que el sitio responde en https://tudominio.com sin errores. Si el navegador muestra un candado roto o una advertencia, revisá que la cadena de certificación esté completa.

Paso 3: Forzar HTTPS en WordPress y WooCommerce

Instalar el certificado no es suficiente. Si no forzás el redireccionamiento, los usuarios que escriban http:// o lleguen por un enlace antiguo seguirán navegando sin cifrado. Hay dos formas de hacerlo:

Opción A — Vía .htaccess (recomendada para servidores Apache): Agregá estas líneas al inicio del archivo .htaccess en la raíz de tu instalación WordPress:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Esta regla captura cualquier solicitud HTTP y la redirige permanentemente a HTTPS con un código 301, que los motores de búsqueda interpretan como redirección definitiva.

Opción B — Plugin Really Simple SSL: Si preferís evitar editar archivos del servidor, este plugin detecta tu certificado, actualiza las URLs del sitio en la base de datos y activa la redirección automáticamente. Es la opción más rápida para quienes no tienen acceso directo al servidor.

Independientemente del método, también actualizá las URLs en el panel de WordPress: Ajustes → General, cambiá tanto la «Dirección de WordPress» como la «Dirección del sitio» a https://.

Paso 4: Corregir el contenido mixto

El contenido mixto ocurre cuando la página carga en HTTPS pero algún recurso interno —una imagen, un script, una hoja de estilos— sigue siendo referenciado con una URL en HTTP. El resultado: el candado aparece roto o el navegador bloquea el recurso directamente.

Para detectarlo, usá la herramienta de desarrollo del navegador (F12 → Consola) o servicios online como WhyNoPadlock. Una vez identificados los recursos problemáticos, tenés dos caminos:

Actualizarlos directamente en la base de datos con un plugin como Better Search Replace (reemplazando http://tudominio.com por https://tudominio.com).
Si el contenido mixto viene de recursos externos, verificá si esa fuente externa también soporta HTTPS y actualizá la URL.

Verificación: checklist antes de dar el proceso por cerrado

No des por terminada la configuración sin pasar por esta lista. Un SSL mal verificado puede generar problemas silenciosos que solo aparecen días después.

Candado visible en todas las páginas: Revisá home, categorías, fichas de producto, carrito y checkout. El candado debe aparecer en todas sin excepción.
Redirección 301 activa: Escribí http://tudominio.com en el navegador y verificá que redirige automáticamente a https://. Podés confirmar el código de respuesta con herramientas como httpstatus.io.
Sin advertencias de contenido mixto: Abrí la consola del navegador en las páginas principales y verificá que no haya errores de recursos bloqueados por contenido mixto.
URLs actualizadas en Google Search Console: Si ya tenías el sitio indexado, agregá la propiedad HTTPS y enviá el sitemap actualizado para acelerar la reindexación.
Caché limpia: Limpiá la caché del plugin de caché, del servidor y del navegador. Muchos errores post-migración son simplemente versiones cacheadas de la versión HTTP.
Certificado con fecha de vencimiento controlada: Let’s Encrypt vence cada 90 días. Verificá que la renovación automática esté activa en tu hosting.

Troubleshooting: qué revisar si algo falla

La mayoría de los problemas post-activación tienen causa conocida. Antes de desesperar, revisá estos puntos en orden:

El sitio muestra «demasiadas redirecciones»: Hay un conflicto entre la regla del .htaccess y alguna configuración del plugin o del hosting. Desactivá temporalmente Really Simple SSL si lo usás, o revisá si el hosting ya fuerza HTTPS por su cuenta (lo que genera un loop).
El candado aparece roto en algunas páginas: Contenido mixto. Usá la consola del navegador para identificar qué recurso está cargando en HTTP.
El certificado muestra error de validación: La cadena de certificación está incompleta. Reinstalá el certificado incluyendo el CA bundle completo.
Las imágenes del producto no cargan después de migrar: Las URLs de los archivos en la base de datos siguen apuntando a HTTP. Ejecutá Better Search Replace para actualizarlas masivamente.
WooCommerce muestra advertencias en el checkout: Verificá que la opción «Forzar checkout seguro» esté activa en WooCommerce → Ajustes → Avanzado.

SSL activo: el punto de partida, no el destino

Con SSL configurado y HTTPS forzado en toda la tienda, tu sitio cumple el estándar mínimo de seguridad que los navegadores y los motores de búsqueda exigen hoy. Pero la seguridad de una tienda no termina en el certificado: también depende de cómo gestionás el inventario, los pedidos y la sincronización con los canales donde vendés.

Si además de tu tienda WooCommerce operás en Mercado Libre, mantener el stock sincronizado entre ambos canales es tan crítico como tener HTTPS activo. Una venta en Mercado Libre que no descuenta stock en WooCommerce genera sobreventas, reclamos y reputación en riesgo. El plugin para sincronizar WooCommerce y Mercado Libre de WooSync mantiene precios, stock y estados de publicación actualizados en ambas direcciones, sin que tengas que intervenir manualmente en cada canal.

Una tienda segura y con operación sincronizada es la base para crecer sin apagar incendios. Si todavía gestionás el inventario entre canales de forma manual, ese es el siguiente problema a resolver. Conocé cómo funciona el sincronizador de stock entre WooCommerce y Mercado Libre y evaluá si tiene sentido para tu operación.