Cuando el navegador dice que tu sitio no es seguro
Es un aviso sobre la conexión, no una señal de que alguien entró a tu sitio.
Abre tu propio sitio web en una ventana privada del navegador y mira el extremo izquierdo de la barra de direcciones. Si ahí están las palabras No es seguro, cualquiera que entre ve las mismas palabras en el mismo lugar. Esa etiqueta la pone el navegador, no tu sitio web.
Esto es lo que indica esa etiqueta, cómo revisar tu propia dirección en un minuto y quién lo arregla en cada tipo de hosting.
Qué te está diciendo el navegador en realidad
El aviso habla de la conexión entre el dispositivo de quien te visita y tu sitio web, y de nada más. Hay tres razones comunes.
- La conexión no está cifrada. La página se envió por
httpsimple, así que todo lo que se escriba en ella viaja al descubierto. - El certificado está vencido. Todo certificado tiene una fecha de vencimiento, y el tuyo ya la pasó.
- El certificado es para otro nombre. Muchas veces la diferencia es
www. Un certificado que cubretunegocio.com.aupuede no cubrirwww.tunegocio.com.au, o al revés.
La etiqueta describe únicamente la conexión. No significa que hackearon tu sitio, y no es un aviso de virus. Cuando los navegadores creen que una página tiene malware o una estafa, muestran otro aviso distinto: una página roja completa, con otro texto.
Leer el aviso como una intrusión lleva a la reacción equivocada, como bajar el sitio cuando la solución real es una configuración en tu proveedor de hosting.
Deja de buscar el candado
Chrome reemplazó el candado de su barra de direcciones por un ícono de configuración. Firefox y Safari todavía muestran un candado. En cualquier caso, el candado no es lo que hay que revisar.
Fíjate mejor en dos cosas: las palabras No es seguro junto a la dirección, y una página completa que dice que tu conexión no es privada. La página completa es la grave, porque obliga a quien visita a decidir si continúa.
La revisión de un minuto
Hazlo primero en una computadora. Es una de las tres revisiones que vale la pena hacerle a tu propio sitio.
- Abre una ventana privada, así ves lo que ve un desconocido.
- Escribe tu dirección sin www, a mano:
tunegocio.com.au. - Lee el extremo izquierdo de la barra de direcciones. Cualquier palabra ahí, como No es seguro, es la falla. Lo que quieres es que no aparezca ninguna.
- Escríbela otra vez con
www.adelante, porque un certificado puede cubrir una versión y la otra no. - Escríbela una tercera vez empezando con
http://, y mira dónde terminas.
El paso 5 tiene un detalle que conviene conocer. Hoy los navegadores intentan por su cuenta la versión segura de una dirección, así que llegar a https:// demuestra que la versión segura funciona. No demuestra que tu proveedor tenga puesta la redirección. Pídele que te confirme que está puesta.
Repite los pasos 2 y 4 en tu teléfono; las mismas palabras aparecen en un espacio mucho más pequeño.
Por último, toca el enlace del sitio web en tu Perfil de Empresa de Google, y cualquier enlace de reservas que les mandes a tus clientes. Esas son las direcciones que la gente usa de verdad, y ya que estás ahí vale la pena revisar que el horario siga bien.
Para el detalle, la prueba gratuita SSL Server Test en ssllabs.com/ssltest muestra la fecha de vencimiento del certificado y todos los nombres que cubre.
Cuatro causas comunes
- Una renovación que se detuvo. Los certificados normalmente están configurados para renovarse solos. Cuando una renovación falla, porque venció una tarjeta o cambió una configuración, nada lo anuncia. El sitio funciona hasta la fecha de vencimiento, y ahí aparece el aviso para todo el mundo al mismo tiempo.
- Un sitio que carga por http y nunca redirige. La versión segura puede funcionar perfecto, pero los enlaces viejos, las tarjetas impresas y las fichas en directorios siguen apuntando a la dirección
http. - Un dominio que se mudó a otro hosting, y el certificado se quedó atrás. Un certificado pertenece al hosting, no al nombre de dominio. Hay que emitir uno nuevo en el destino, y eso no siempre es inmediato.
- Una página segura con algo adentro que no lo es. Una imagen, una fuente o un mapa cargado desde una dirección
http. Hoy los navegadores intentan cargar la versión segura de ese elemento y lo bloquean si no existe, en lugar de avisar sobre la página entera. El síntoma es una foto que falta, o un formulario que no aparece.
Quién lo arregla, según la plataforma
Si tu sitio está en Wix, Squarespace, Shopify o el creador de sitios de GoDaddy, el proveedor emite y renueva el certificado, y viene incluido en el plan que ya pagas. No hay nada que comprar ni nada que instalar. Busca SSL en la ayuda de tu proveedor y revisa la configuración ahí. Si se ve bien, mándale a soporte una sola frase: la dirección que escribiste, las palabras exactas que mostró el navegador y la fecha de hoy. Si conectaste el dominio hace uno o dos días, puede que el certificado todavía esté en camino, y la página de ayuda de tu proveedor dirá cuánto puede tardar.
Si tu sitio tiene su propio hosting, algo común con WordPress aunque no solo con WordPress, el certificado suele ser de Let's Encrypt. Let's Encrypt no cobra ni por emitir ni por renovar, así que una renovación detenida no es una factura sin pagar. Entra al panel de control de tu hosting y busca SSL o Let's Encrypt. Muchos proveedores tienen un botón que emite un certificado nuevo. Si no lo hay, este es trabajo para quien haya montado el sitio.
Si no sabes cuál de los dos tienes, esa es una respuesta normal. Tu proveedor de hosting es quien te cobra el hosting cada año. Busca esa factura.
Sea cual sea, pide que la redirección sea parte de la solución. Toda dirección http debería llevar a la https, con www y sin www. Sin eso, el aviso vuelve la primera vez que alguien use un enlace viejo.
Lo que no debe preocuparte
- Un aviso que aparece solo en tu computadora o en tu teléfono. Revisa en un segundo dispositivo con datos móviles. Si ese sale limpio, el problema está de tu lado. Un dispositivo con la fecha mal hace que todos los certificados se vean vencidos, y algunos antivirus y algunos accesos a wifi público hacen lo mismo.
- Un aviso en una dirección de prueba o de vista previa. Los proveedores usan direcciones temporales para las vistas previas, y esas no son las direcciones que repartes. Prueba la dirección impresa en tu tarjeta.
- Un marcador viejo que empieza con
http://. Si abre la versión segura, para ti no hay nada roto. Si eso viene de la redirección de tu proveedor o del navegador, esa es una pregunta para tu proveedor.
Cuánto pesa https en el buscador
Google anunció en 2014 que trata https como una señal de posicionamiento, y en ese momento la describió como una señal ligera. Así que el buscador es la razón menor para arreglar esto. La mayor está a la vista: las palabras están junto a tu dirección, y cualquier visitante puede leerlas.
Qué hacer ahora
Escribe tu dirección de cuatro maneras. Con www, sin www, empezando con http://, y una vez en tu teléfono. Anota una línea por cada una: qué escribiste, las palabras exactas que viste y la fecha de hoy.
Manda esas cuatro líneas a tu proveedor de hosting, o a quien mantenga el sitio. Una lista corta de datos consigue una mejor respuesta que "mi sitio web dice que no es seguro".
Si nadie responde, o nadie te sabe decir en qué hosting está el sitio, ese es el tipo de trabajo que hacemos.
Lo que nos preguntan
- ¿"No es seguro" significa que hackearon mi sitio web?
- No. Esa etiqueta describe la conexión entre quien visita y tu sitio, no el contenido de tus páginas. Las causas comunes son una página enviada sin cifrado, un certificado vencido y un certificado emitido para otra dirección. Los navegadores sí avisan cuando creen que una página tiene malware o una estafa, pero ese es otro aviso distinto: una página roja completa, con otro texto.
- ¿Tengo que pagar por un certificado?
- Por lo general, no. En Wix, Squarespace, Shopify y el creador de sitios de GoDaddy, el proveedor emite y renueva el certificado como parte del plan que ya pagas. En un sitio con hosting propio, el certificado suele ser de Let's Encrypt, que no cobra ni por emitirlo ni por renovarlo. Puede que le pagues a alguien por el tiempo que toma destrabar una renovación detenida, pero el certificado en sí no suele ser el costo.
- Mi sitio está bien, pero la versión con www muestra un aviso. ¿Por qué?
- Un certificado cubre nombres específicos, y tunegocio.com.au y www.tunegocio.com.au son dos nombres distintos. Un certificado que cubre solo una de las dos produce un aviso en la otra. La solución es un certificado que cubra ambas, más una redirección para que una dirección siempre lleve a la otra. Prueba las dos versiones después de cualquier cambio.
- Ya está arreglado, pero mi propio navegador sigue mostrando el aviso. ¿Ahora qué?
- Revisa otra vez en una ventana privada, porque el navegador puede guardar el resultado anterior por un rato. Después revisa en un teléfono con datos móviles en lugar de tu propio wifi. Si las dos pruebas salen limpias, el cambio ya se aplicó y tu navegador de siempre se pondrá al día. Si el aviso sigue en un segundo dispositivo, el cambio no se aplicó.
