# Mi página web dice «No es seguro»: causas y solución

> Por qué Chrome dice que tu web no es segura (sin HTTPS, certificado caducado, contenido mixto) y cómo comprobarlo y arreglarlo en WordPress y PrestaShop.

URL: https://webintacta.com/guias/web-no-segura-chrome
Última actualización: 2026-10-13

**En resumen:** Si Chrome dice «No es seguro» junto a tu dirección, casi nunca es un hackeo: la web no usa HTTPS, el certificado ha caducado o no es válido, o la página carga recursos por http (contenido mixto). Se arregla con un certificado, a menudo gratuito desde el propio hosting, y redirigiendo todo a https. La pantalla roja a toda página es otra cosa: Google ha encontrado malware o phishing.


Por Jose Soriano (WebIntacta) · publicada el 2026-10-08

Si al lado de la dirección de tu web aparece «No es seguro», casi nunca significa que te hayan hackeado. Significa que la conexión entre el visitante y tu web no está cifrada o que el certificado falla. Se arregla, y en la mayoría de los casos sin pagar nada por el certificado.

## «No es seguro» no es «sitio peligroso»

Chrome muestra avisos distintos para problemas distintos, y conviene no mezclarlos:

- **«No es seguro»** junto a la dirección: la página no usa una conexión privada (HTTPS). Lo que se envía puede verse o modificarse por el camino. Es un problema de configuración.
- **«La conexión no es privada»** a pantalla completa: el certificado tiene un problema (caducado, de otro dominio, emitido por quien no debe) o algo falla en la red.
- **«La conexión no es segura»** antes de entrar: aparece cuando el navegador tiene activado «Usar siempre conexiones seguras» y la web no tiene HTTPS.
- **Pantalla roja de «Sitio peligroso» o «Sitio engañoso»**: Navegación segura de Google ha detectado malware o phishing. Esto sí es un hackeo, y se trata en la guía [Google dice que mi sitio es peligroso](https://webintacta.com/guias/google-dice-que-mi-sitio-es-peligroso).

Además, Google anunció que con Chrome 154, en octubre de 2026, activa por defecto «Usar siempre conexiones seguras» para las webs públicas: antes de la primera visita a una web sin HTTPS, Chrome pedirá permiso al usuario. Una web sin HTTPS pasa de llevar una etiqueta discreta a interrumpir la visita.

## Causa 1: la web no tiene HTTPS

Es la más común en webs antiguas. Si tu dirección empieza por `http://`, todo lo que se envía viaja sin cifrar y Chrome lo marca. La solución es instalar un certificado TLS (lo que todo el mundo llama «SSL»):

1. **Activa el certificado en tu hosting.** Casi todos ofrecen certificados gratuitos de Let's Encrypt con renovación automática; en cPanel suele estar en **SSL/TLS Status** o en AutoSSL. No hace falta comprar uno para una web normal ni para una tienda.
2. **Redirige todo el tráfico de HTTP a HTTPS** con una redirección permanente (301), para que nadie se quede en la versión sin cifrar.
3. **Cambia las URL de la web.** En WordPress, en **Ajustes → Generales**, «Dirección de WordPress» y «Dirección del sitio» deben empezar por `https://`. En PrestaShop, en **Parámetros de la tienda → Configuración**, activa SSL y SSL en todas las páginas.
4. **Actualiza los enlaces internos** de la base de datos (el siguiente apartado).

En Apache, la redirección en el `.htaccess`:

```
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]
```

Si tu web está detrás de Cloudflare u otro proxy, esta regla puede crear un bucle de redirecciones; en ese caso, la redirección se activa en el propio proxy.

## Causa 2: certificado caducado o no válido

La web tenía HTTPS y un día empieza a dar error. Las razones habituales:

- **Ha caducado** y la renovación automática falló (cambio de DNS, de hosting o de servidor).
- **No cubre el nombre que se visita:** el certificado es para `tu-web.com` y la visita llega a `www.tu-web.com`, o al revés. Ambos nombres deben estar en el certificado.
- **Falta el certificado intermedio:** en algunos navegadores funciona y en otros no. Típico de certificados instalados a mano.
- **El reloj del ordenador del visitante está mal.** Si el error solo le sale a una persona, es lo primero que hay que mirar.

Renovar a mano ya no es una opción realista. Desde el 15 de marzo de 2026, los certificados públicos nuevos duran como máximo 200 días, y el CA/Browser Forum aprobó reducirlo por etapas hasta 47 días en 2029. Con plazos así, la renovación tiene que ser automática.

## Causa 3: contenido mixto

La página carga por HTTPS, pero dentro pide recursos por `http://`: una imagen, un script, una fuente, un formulario que envía a una dirección sin cifrar. Pasa muchísimo después de migrar a HTTPS, porque la base de datos sigue llena de enlaces antiguos.

Los navegadores actuales intentan cargar por HTTPS las imágenes, el audio y el vídeo, y **bloquean** los scripts, las hojas de estilo, los marcos y las fuentes que llegan por HTTP. El resultado puede ser una web que pierde el diseño, un carrito que no funciona o el candado que no termina de aparecer.

Cómo arreglarlo:

- **Encuéntralo:** F12 → pestaña **Consola**. Cada recurso mixto aparece con su dirección exacta.
- **En WordPress, cambia las URL de la base de datos** con WP-CLI (primero con `--dry-run` para ver qué cambiaría) o con un plugin de búsqueda y reemplazo que respete los datos serializados:

```
wp search-replace 'http://tu-web.com' 'https://tu-web.com' --dry-run
```

- **Revisa el tema y los plugins:** a veces la dirección está escrita en el código o en las opciones del tema (logotipo, fondo, scripts personalizados).
- **Como red de seguridad**, la directiva `upgrade-insecure-requests` de la Content-Security-Policy pide al navegador que convierta todas las peticiones a HTTPS. No sustituye a corregir los enlaces, pero tapa los que se escapen. Lo explico en la guía de [cabeceras de seguridad](https://webintacta.com/guias/cabeceras-de-seguridad-http).

## Cómo comprobar el certificado

**En Chrome:** haz clic en el icono a la izquierda de la dirección, luego en «La conexión es segura» y en «El certificado es válido». Verás para qué nombres se emitió, quién lo emitió y hasta qué fecha vale.

**Desde la terminal** (OpenSSL viene en macOS y Linux, y en Windows con Git):

```
openssl s_client -connect tu-web.com:443 -servername tu-web.com </dev/null 2>/dev/null | openssl x509 -noout -dates -subject -ext subjectAltName
```

`notAfter` es la fecha de caducidad y `subjectAltName`, la lista de nombres que cubre. Si falta `www` o el dominio sin `www`, ahí está el problema.

El [análisis gratuito](https://webintacta.com/analisis-seguridad-web-gratis) comprueba el certificado, su caducidad, la redirección a HTTPS, HSTS y el contenido mixto de la portada.

## Después de pasar a HTTPS

Con el candado ya en su sitio, quedan unos cuantos cabos sueltos que suelen olvidarse y que afectan al posicionamiento y a la seguridad:

- **Search Console:** si tenías verificada la propiedad como prefijo de URL con `http://`, añade también la versión `https://` (o verifica el dominio entero con un registro DNS, que cubre las dos). Envía de nuevo el sitemap.
- **Sitemap y canonical:** comprueba que el sitemap y las etiquetas canonical de tus páginas usan `https://`. Muchos plugins de SEO lo hacen solos al cambiar la dirección del sitio, pero no todos.
- **Redirecciones en cadena:** `http://www` → `https://www` → `https://` son tres saltos. Lo ideal es que cualquier variante llegue a la buena en una sola redirección.
- **HSTS:** cuando todo funcione con HTTPS durante unos días, añade la cabecera Strict-Transport-Security para que el navegador no vuelva a intentar la versión sin cifrar. Empieza con un valor corto.
- **Herramientas externas:** Google Analytics, Google Ads, perfiles en redes sociales y la ficha de Google Business Profile suelen guardar la dirección antigua. Actualízalas para ahorrarte una redirección en cada visita.
- **Correos y facturas:** las plantillas de correo de la tienda y los PDF de factura a veces llevan la dirección escrita a mano.
- **robots.txt y llms.txt:** la línea `Sitemap:` de `robots.txt` y los enlaces de `llms.txt` llevan direcciones completas; cámbialas a `https://`. Qué debe contener `llms.txt`, en la [guía de llms.txt](https://webintacta.com/guias/llms-txt).

Y vigila la renovación del certificado. Lo que más veo no es una web que nunca tuvo HTTPS, sino una que lo tenía y lo perdió tras un cambio de DNS o de hosting que rompió la renovación automática. Un aviso por correo antes de la caducidad (muchos hostings lo envían) te da margen para reaccionar.

## Cuándo el aviso es rojo

Si lo que ves no es la etiqueta gris de «No es seguro» sino una pantalla roja que dice que el sitio es peligroso o engañoso, el problema no es el certificado: Google ha detectado malware, phishing o software no deseado en tu web. Ningún certificado lo quita. Hay que limpiar la web y pedir la revisión en Search Console; lo explico paso a paso en [Google dice que mi sitio es peligroso](https://webintacta.com/guias/google-dice-que-mi-sitio-es-peligroso), y si necesitas que me encargue, en [web hackeada](https://webintacta.com/web-hackeada).

## Fuentes

- [Ayuda de Chrome: comprobar si la conexión es segura](https://support.google.com/chrome/answer/95617?hl=es)
- [Google: HTTPS por defecto en Chrome](https://blog.google/security/https-by-defau/)
- [MDN: contenido mixto](https://developer.mozilla.org/en-US/docs/Web/Security/Mixed_content)
- [CA/Browser Forum: votación SC-081 sobre la duración de los certificados](https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/)

## Preguntas frecuentes

### ¿Por qué mi página web dice que no es segura?

Porque no usa HTTPS, porque el certificado ha caducado o no cubre el nombre con el que se visita, o porque la página carga recursos por http:// (contenido mixto). Ninguna de las tres implica que te hayan hackeado.

### ¿Cómo quito el «No es seguro» de mi web?

Activa un certificado (los de Let's Encrypt son gratuitos en casi todos los hostings), redirige todo el tráfico de HTTP a HTTPS, cambia las URL de la web a https y corrige los enlaces antiguos en la base de datos.

### ¿Tengo que pagar un certificado SSL?

Para una web corporativa o una tienda normal, no. Los certificados gratuitos cifran igual que los de pago. Lo importante es que se renueven automáticamente.

### ¿«No es seguro» significa que mi web tiene virus?

No. Indica un problema de cifrado. Si Chrome muestra una pantalla roja de sitio peligroso o engañoso, eso sí indica malware o phishing y hay que limpiar la web.

### Tengo HTTPS y sigue saliendo «No es seguro», ¿por qué?

Casi siempre por contenido mixto: imágenes, scripts o formularios que siguen apuntando a http://. Abre la consola del navegador (F12) para ver cuáles son y corrígelos en la base de datos y en el tema.

## Sobre el autor

[Jose Soriano](https://webintacta.com/quien-soy): Desarrollador fullstack especializado en PrestaShop, WordPress y WooCommerce, con el curso y el examen oficiales de PrestaShop aprobados. Desarrolla tiendas online y módulos desde 2023 y es el fundador de WebIntacta, el servicio de seguridad web con el que analiza, limpia y mantiene él mismo webs de pymes y tiendas online, en remoto desde Ibi (Alicante). Datos de WebIntacta: https://webintacta.com/quien-soy#datos