Mi página web dice «No es seguro»: causas y solución

En resumen

Si Chrome dice «No es seguro» junto a tu dirección, casi nunca es un hackeo: la web no usa HTTPS, el certificado ha caducado o no es válido, o la página carga recursos por http (contenido mixto). Se arregla con un certificado, a menudo gratuito desde el propio hosting, y redirigiendo todo a https. La pantalla roja a toda página es otra cosa: Google ha encontrado malware o phishing.

Si al lado de la dirección de tu web aparece «No es seguro», casi nunca significa que te hayan hackeado. Significa que la conexión entre el visitante y tu web no está cifrada o que el certificado falla. Se arregla, y en la mayoría de los casos sin pagar nada por el certificado.

Por Jose SorianoPublicada: 8 de octubre de 2026Última actualización: 13 de octubre de 20266 min de lectura

«No es seguro» no es «sitio peligroso»

Chrome muestra avisos distintos para problemas distintos, y conviene no mezclarlos:

«No es seguro» junto a la dirección: la página no usa una conexión privada (HTTPS). Lo que se envía puede verse o modificarse por el camino. Es un problema de configuración.
«La conexión no es privada» a pantalla completa: el certificado tiene un problema (caducado, de otro dominio, emitido por quien no debe) o algo falla en la red.
«La conexión no es segura» antes de entrar: aparece cuando el navegador tiene activado «Usar siempre conexiones seguras» y la web no tiene HTTPS.
Pantalla roja de «Sitio peligroso» o «Sitio engañoso»: Navegación segura de Google ha detectado malware o phishing. Esto sí es un hackeo, y se trata en la guía Google dice que mi sitio es peligroso.

Además, Google anunció que con Chrome 154, en octubre de 2026, activa por defecto «Usar siempre conexiones seguras» para las webs públicas: antes de la primera visita a una web sin HTTPS, Chrome pedirá permiso al usuario. Una web sin HTTPS pasa de llevar una etiqueta discreta a interrumpir la visita.

Causa 1: la web no tiene HTTPS

Es la más común en webs antiguas. Si tu dirección empieza por http://, todo lo que se envía viaja sin cifrar y Chrome lo marca. La solución es instalar un certificado TLS (lo que todo el mundo llama «SSL»):

Activa el certificado en tu hosting. Casi todos ofrecen certificados gratuitos de Let's Encrypt con renovación automática; en cPanel suele estar en SSL/TLS Status o en AutoSSL. No hace falta comprar uno para una web normal ni para una tienda.
Redirige todo el tráfico de HTTP a HTTPS con una redirección permanente (301), para que nadie se quede en la versión sin cifrar.
Cambia las URL de la web. En WordPress, en Ajustes → Generales, «Dirección de WordPress» y «Dirección del sitio» deben empezar por https://. En PrestaShop, en Parámetros de la tienda → Configuración, activa SSL y SSL en todas las páginas.
Actualiza los enlaces internos de la base de datos (el siguiente apartado).

En Apache, la redirección en el .htaccess:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

Si tu web está detrás de Cloudflare u otro proxy, esta regla puede crear un bucle de redirecciones; en ese caso, la redirección se activa en el propio proxy.

Causa 2: certificado caducado o no válido

La web tenía HTTPS y un día empieza a dar error. Las razones habituales:

Ha caducado y la renovación automática falló (cambio de DNS, de hosting o de servidor).
No cubre el nombre que se visita: el certificado es para tu-web.com y la visita llega a www.tu-web.com, o al revés. Ambos nombres deben estar en el certificado.
Falta el certificado intermedio: en algunos navegadores funciona y en otros no. Típico de certificados instalados a mano.
El reloj del ordenador del visitante está mal. Si el error solo le sale a una persona, es lo primero que hay que mirar.

Renovar a mano ya no es una opción realista. Desde el 15 de marzo de 2026, los certificados públicos nuevos duran como máximo 200 días, y el CA/Browser Forum aprobó reducirlo por etapas hasta 47 días en 2029. Con plazos así, la renovación tiene que ser automática.

Causa 3: contenido mixto

La página carga por HTTPS, pero dentro pide recursos por http://: una imagen, un script, una fuente, un formulario que envía a una dirección sin cifrar. Pasa muchísimo después de migrar a HTTPS, porque la base de datos sigue llena de enlaces antiguos.

Los navegadores actuales intentan cargar por HTTPS las imágenes, el audio y el vídeo, y bloquean los scripts, las hojas de estilo, los marcos y las fuentes que llegan por HTTP. El resultado puede ser una web que pierde el diseño, un carrito que no funciona o el candado que no termina de aparecer.

Cómo arreglarlo:

Encuéntralo: F12 → pestaña Consola. Cada recurso mixto aparece con su dirección exacta.
En WordPress, cambia las URL de la base de datos con WP-CLI (primero con --dry-run para ver qué cambiaría) o con un plugin de búsqueda y reemplazo que respete los datos serializados:

wp search-replace 'http://tu-web.com' 'https://tu-web.com' --dry-run

Revisa el tema y los plugins: a veces la dirección está escrita en el código o en las opciones del tema (logotipo, fondo, scripts personalizados).
Como red de seguridad, la directiva upgrade-insecure-requests de la Content-Security-Policy pide al navegador que convierta todas las peticiones a HTTPS. No sustituye a corregir los enlaces, pero tapa los que se escapen. Lo explico en la guía de cabeceras de seguridad.

Cómo comprobar el certificado

En Chrome: haz clic en el icono a la izquierda de la dirección, luego en «La conexión es segura» y en «El certificado es válido». Verás para qué nombres se emitió, quién lo emitió y hasta qué fecha vale.

Desde la terminal (OpenSSL viene en macOS y Linux, y en Windows con Git):

openssl s_client -connect tu-web.com:443 -servername tu-web.com </dev/null 2>/dev/null | openssl x509 -noout -dates -subject -ext subjectAltName

notAfter es la fecha de caducidad y subjectAltName, la lista de nombres que cubre. Si falta www o el dominio sin www, ahí está el problema.

El análisis gratuito comprueba el certificado, su caducidad, la redirección a HTTPS, HSTS y el contenido mixto de la portada.

Después de pasar a HTTPS

Con el candado ya en su sitio, quedan unos cuantos cabos sueltos que suelen olvidarse y que afectan al posicionamiento y a la seguridad:

Search Console: si tenías verificada la propiedad como prefijo de URL con http://, añade también la versión https:// (o verifica el dominio entero con un registro DNS, que cubre las dos). Envía de nuevo el sitemap.
Sitemap y canonical: comprueba que el sitemap y las etiquetas canonical de tus páginas usan https://. Muchos plugins de SEO lo hacen solos al cambiar la dirección del sitio, pero no todos.
Redirecciones en cadena: http://www → https://www → https:// son tres saltos. Lo ideal es que cualquier variante llegue a la buena en una sola redirección.
HSTS: cuando todo funcione con HTTPS durante unos días, añade la cabecera Strict-Transport-Security para que el navegador no vuelva a intentar la versión sin cifrar. Empieza con un valor corto.
Herramientas externas: Google Analytics, Google Ads, perfiles en redes sociales y la ficha de Google Business Profile suelen guardar la dirección antigua. Actualízalas para ahorrarte una redirección en cada visita.
Correos y facturas: las plantillas de correo de la tienda y los PDF de factura a veces llevan la dirección escrita a mano.
robots.txt y llms.txt: la línea Sitemap: de robots.txt y los enlaces de llms.txt llevan direcciones completas; cámbialas a https://. Qué debe contener llms.txt, en la guía de llms.txt.

Y vigila la renovación del certificado. Lo que más veo no es una web que nunca tuvo HTTPS, sino una que lo tenía y lo perdió tras un cambio de DNS o de hosting que rompió la renovación automática. Un aviso por correo antes de la caducidad (muchos hostings lo envían) te da margen para reaccionar.

Cuándo el aviso es rojo

Si lo que ves no es la etiqueta gris de «No es seguro» sino una pantalla roja que dice que el sitio es peligroso o engañoso, el problema no es el certificado: Google ha detectado malware, phishing o software no deseado en tu web. Ningún certificado lo quita. Hay que limpiar la web y pedir la revisión en Search Console; lo explico paso a paso en Google dice que mi sitio es peligroso, y si necesitas que me encargue, en web hackeada.

Fuentes

Preguntas frecuentes

¿Por qué mi página web dice que no es segura?

Porque no usa HTTPS, porque el certificado ha caducado o no cubre el nombre con el que se visita, o porque la página carga recursos por http:// (contenido mixto). Ninguna de las tres implica que te hayan hackeado.

¿Cómo quito el «No es seguro» de mi web?

Activa un certificado (los de Let's Encrypt son gratuitos en casi todos los hostings), redirige todo el tráfico de HTTP a HTTPS, cambia las URL de la web a https y corrige los enlaces antiguos en la base de datos.

¿Tengo que pagar un certificado SSL?

Para una web corporativa o una tienda normal, no. Los certificados gratuitos cifran igual que los de pago. Lo importante es que se renueven automáticamente.

¿«No es seguro» significa que mi web tiene virus?

No. Indica un problema de cifrado. Si Chrome muestra una pantalla roja de sitio peligroso o engañoso, eso sí indica malware o phishing y hay que limpiar la web.

Tengo HTTPS y sigue saliendo «No es seguro», ¿por qué?

Casi siempre por contenido mixto: imágenes, scripts o formularios que siguen apuntando a http://. Abre la consola del navegador (F12) para ver cuáles son y corrígelos en la base de datos y en el tema.