Por qué tu sitio web dice «No seguro» y cómo solucionarlo (certificado SSL y HTTPS)

Si tu navegador muestra «No seguro» junto a la dirección de tu página, significa que la conexión entre tu sitio y quien lo visita no está cifrada: le falta HTTPS con un certificado SSL/TLS válido y bien configurado. No es un virus, pero sí espanta clientes y te resta puntos con Google. Aquí te explicamos por qué pasa y cómo se resuelve.

Ver «No seguro» en tu propio sitio asusta, y con razón: es lo primero que nota quien te visita, y manda un mensaje de desconfianza justo cuando intentas ganar a un cliente. La buena noticia es que casi siempre tiene solución, y entender qué significa es el primer paso para arreglarlo sin caer en el pánico ni en manos de quien te quiera vender humo.

En esta guía te explicamos, en lenguaje simple, qué quiere decir esa advertencia, por qué aparece, qué riesgos reales implica para tu negocio y cómo se soluciona. Y, fieles a como trabajamos, te diremos con honestidad qué puedes resolver por tu cuenta y cuándo conviene apoyarte en alguien con experiencia para no romper nada.

Qué significa exactamente «No seguro»

En una frase: «No seguro» indica que la conexión de tu sitio no está cifrada porque le falta HTTPS con un certificado SSL/TLS válido.

Para entenderlo hay que conocer dos formas en que un sitio puede transmitir datos. La vieja se llama HTTP y manda la información en texto plano, a la vista de cualquiera que intercepte la conexión. La moderna se llama HTTPS, que es exactamente lo mismo pero cifrado: la «S» es de «Secure» (seguro). Lo ves en la barra de direcciones: las páginas seguras empiezan con https:// y suelen mostrar un candado.

El cifrado lo hace una tecnología llamada SSL/TLS. Aquí un detalle que casi nadie aclara: el estándar real hoy se llama TLS, y «SSL» es el nombre viejo que quedó por costumbre. Por eso todo el mundo dice «certificado SSL» aunque por dentro funcione con TLS. Como referencia técnica, hoy se recomienda usar al menos la versión TLS 1.2 (idealmente TLS 1.3); las versiones viejas (TLS 1.0 y 1.1) están obsoletas y los navegadores modernos las bloquean. Ese certificado es como una credencial digital que emite una autoridad certificadora, habilita el cifrado y confirma que quien lo solicita controla ese dominio. Cuando falta, está vencido o está mal puesto, el navegador muestra «No seguro».

Lo que el candado NO significa

Aquí va la verdad incómoda que conviene tener clara: el candado solo indica que la conexión está cifrada, no que el sitio sea legítimo o confiable. De hecho, los delincuentes lo saben. Según datos del Anti-Phishing Working Group, cerca del 80% de los sitios de phishing (esos que imitan a un banco o una tienda para robarte) usan certificado SSL, casi siempre del tipo más básico. Dicho claro: hasta una página fraudulenta puede tener candado. El candado cifra, no acredita honestidad. Por eso conviene no bajar la guardia solo porque aparezca.

Fuente: Anti-Phishing Working Group (APWG), Phishing Activity Trends Reports (fuente original); cifra de cerca del 80% de dominios de phishing con SSL recopilada por Dotkeeper (proveedor).

Por qué aparece la advertencia en tu sitio

En una frase: el aviso «No seguro» aparece cuando falta el certificado SSL, está vencido, está mal configurado o hay contenido mixto en tu página.

No hay una sola causa. Estas son las más comunes, explicadas en simple para que dimensiones por qué «ponerle el candado» rara vez es un solo clic:

• No tiene certificado SSL: tu sitio simplemente sigue funcionando en HTTP puro. Es la causa más básica.
• El certificado expiró: existía, pero nadie lo renovó, y el aviso reaparece de golpe.
• Está mal configurado o no coincide con el dominio: por ejemplo, cubre tunegocio.com pero el visitante entra a www.tunegocio.com.
• Contenido mixto: la página principal carga segura, pero «jala» imágenes, scripts o tipografías por la vía vieja sin cifrar, y el navegador retira el candado.
• Certificado autofirmado: sirve solo para pruebas internas; en un sitio público siempre dispara el aviso porque ningún navegador confía en él.
• Redirecciones mal hechas: mandan al visitante de vuelta a la versión insegura.
• El reloj del visitante está en una fecha equivocada: el sitio está bien, pero el equipo de quien entra tiene mal la fecha y el aviso aparece de su lado.

Como ves, detrás de «No seguro» puede haber siete situaciones distintas, y cada una se diagnostica diferente. Esa es la primera señal de que conviene tomárselo con método.

Desde cuándo los navegadores hacen esto (y por qué)

Quizá te preguntes por qué de repente todos los sitios «necesitan» candado. No es un capricho ni algo nuevo. En julio de 2018, con el lanzamiento de Chrome 68, Google empezó a marcar como «No seguro» a todos los sitios que siguieran en HTTP, no solo a los que pedían contraseñas o tarjetas. Como lo explicó el propio equipo de seguridad de Chrome, cuando cargas un sitio por HTTP sin cifrar, cualquiera en la red puede ver la información que va y viene, e incluso modificar el contenido de la página antes de que te llegue.

A partir de ahí, el resto de navegadores (Edge, Firefox, Safari) siguió el mismo camino, así que hoy es un estándar universal. Y la web le hizo caso: según datos recientes del equipo de Chrome, alrededor del 95% de las páginas que se cargan ya usan HTTPS, cifra que supera el 98% si se cuentan solo los sitios públicos. Es más, Google anunció que a partir de octubre de 2026 (con Chrome 154) el navegador pedirá confirmación antes de abrir un sitio público que no use HTTPS, lo que hará el aviso todavía más visible. La conclusión para ti es simple: un sitio que en pleno 2026 sigue marcado como «No seguro» ya no pasa desapercibido, es la rara excepción, y se nota.

Fuente: Google, «marking HTTP as not secure», Chrome 68 (julio 2018); Google Security, «HTTPS by default» (octubre 2025): alrededor del 95% de las cargas de página ya usan HTTPS, 98% si se cuentan solo los sitios públicos.

Qué riesgos reales corre tu negocio

En una frase: un sitio «No seguro» pierde confianza, posicionamiento en Google, seguridad de los datos y, al final, ventas.

Este es el corazón del asunto, porque el aviso no es solo estético. Veamos qué está realmente en juego, y por qué resolverlo importa más de lo que parece.

La confianza de quien te visita

Es el golpe más inmediato. Quien ve «No seguro» desconfía y se va, muchas veces antes de leer una sola línea. Una encuesta de la agencia John Cabot a más de 1,300 personas encontró que el 46% no ingresaría su nombre ni datos financieros en un sitio marcado como no seguro, y que de ese grupo el 64% abandonaría el sitio de inmediato. Conviene leer esa cifra como referencia (es de otro país y de 2018), pero la dirección es clara: el aviso erosiona la confianza justo en el momento de la decisión. Este es, de hecho, uno de los seis motivos por los que un negocio no recibe clientes en línea, el de «te encuentran pero no confían», que explicamos a fondo en Por qué no me llegan clientes por internet: las 6 razones reales (y cómo saber cuál es la tuya).

Fuente: Encuesta de John Cabot (1,324 personas), vía Search Engine Land (2018): 46% no ingresaría sus datos en un sitio «no seguro»; de ellos, 64% lo abandonaría al instante (encuesta de proveedor, otro país, ilustrativa).

Tu posicionamiento en Google

Desde agosto de 2014, Google confirmó que usar HTTPS es una señal de posicionamiento. Es una señal «ligera» (la propia Google dijo que afecta a menos del 1% de las búsquedas globales y que pesa menos que tener buen contenido), así que no esperes que el candado por sí solo te dispare en los resultados. Pero el mensaje de fondo es que sin HTTPS partes en desventaja, y en un terreno donde casi nadie pasa de los primeros lugares, cada desventaja cuenta. Si quieres entender cómo encaja esto en el panorama completo del posicionamiento, lo vemos en Qué es el SEO y cómo funciona: guía clara para PyMEs en México.

Fuente: Google Search Central, «HTTPS as a ranking signal» (6 de agosto de 2014): HTTPS es señal de posicionamiento ligera, afecta a menos del 1% de las consultas globales.

La seguridad de los datos

Aquí el riesgo es concreto. En HTTP, todo lo que se escribe en tu sitio (un nombre, un teléfono, un mensaje, una contraseña, datos de pago) viaja sin cifrar y puede ser interceptado o incluso alterado por terceros. El peligro crece en redes WiFi públicas, donde un atacante puede colocarse «en medio» de la conexión. El HTTPS cierra esa puerta cifrando el tránsito de extremo a extremo.

Tus ventas y tus contactos

Todo lo anterior desemboca en lo que de verdad te importa: el negocio. El comercio digital en México no para de crecer. Según la AMVO, el comercio electrónico minorista alcanzó alrededor de 941 mil millones de pesos en 2025, un crecimiento de 19.2%, con cerca de 77.2 millones de compradores digitales. Y casi todo ese tráfico es móvil: el INEGI reporta que el 97.2% de los usuarios de internet se conecta desde un celular, justo donde la barra de «No seguro» es más visible. Un sitio que proyecta desconfianza en ese contexto frena compras y contactos en el peor momento posible.

Fuente: AMVO, Estudio de Venta Online 2026: el eCommerce minorista llegó a 941 mil millones de pesos en 2025 (+19.2%), con 77.2 millones de compradores (estimación de asociación); INEGI, ENDUTIH 2024: 97.2% de los usuarios se conecta desde un celular.

La protección de datos (LFPDPPP)

Hay un componente más, de cumplimiento. Si tu sitio recaba datos personales (un formulario de contacto ya cuenta), la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente en México desde marzo de 2025, obliga a implementar medidas de seguridad para proteger esa información. El HTTPS no es el único requisito, pero sí una de esas medidas básicas, y mostrar que cuidas los datos refuerza la confianza. No es asesoría legal, es buena práctica que conviene tener en el radar.

Nota de método: la cifra de abandono (46% / 64%) es de una encuesta de proveedor en otro país (2018) y se usa como referencia, no como dato del consumidor mexicano. Los datos de AMVO son de asociación; los de INEGI y Google son oficiales. El efecto de HTTPS en SEO es, según Google, «ligero».

Cómo se soluciona (y por qué no es un solo botón)

En una frase: para quitar el «No seguro» se instala un certificado SSL válido, se fuerza HTTPS con redirección 301 y se elimina el contenido mixto.

A grandes rasgos, quitar el «No seguro» sigue estos pasos, que deben quedar bien hechos en conjunto:

1. Obtener e instalar un certificado SSL/TLS válido. Muchos servicios de hosting ya lo incluyen gratis a través de una autoridad llamada Let’s Encrypt; otros lo venden.
2. Forzar HTTPS con una redirección 301 permanente, para que nadie pueda entrar por la versión vieja sin cifrar.
3. Eliminar el contenido mixto, actualizando enlaces, imágenes, scripts y recursos para que todo cargue de forma segura.
4. Avisarle a Google del cambio y reenviar el sitemap para que reindexe la versión segura del sitio.
5. Vigilar la renovación. Los certificados gratuitos de Let’s Encrypt duran 90 días y suelen renovarse de forma automática mediante el protocolo ACME (normalmente con una herramienta como certbot instalada en el servidor); si esa automatización falla y nadie lo nota, el aviso regresa de golpe.

Importante: en plataformas como WordPress existen plugins que ayudan con buena parte de esto, pero conviene ser honestos: una mala configuración puede dejar contenido mixto, crear bucles de redirección o, en el peor caso, romper el sitio. Instalar un plugin no es lo mismo que dejarlo bien hecho.

Tipos de certificado: DV, OV y EV

No todos los certificados son iguales, aunque todos cifran exactamente igual. Lo que cambia es cuánto verifican tu identidad, no la fuerza del cifrado:

Tipo	Qué verifica	Para quién
DV (validación de dominio)	Solo que controlas el dominio. Rápido y gratis con Let’s Encrypt	La mayoría de las PyMEs: blogs, sitios informativos, landing pages
OV (validación de organización)	El dominio y además datos verificados de tu empresa	Negocios que quieren proyectar más credibilidad corporativa
EV (validación extendida)	Verificación legal y operativa exhaustiva	Banca, fintech y comercio electrónico de alto volumen

Para la PyME promedio, un certificado DV gratis bien instalado es más que suficiente. Pagar de más por un EV rara vez se justifica si no manejas grandes volúmenes de pagos. Y como un sitio rápido, seguro y rastreable es además parte de los cimientos para que te encuentren tanto Google como la inteligencia artificial, vale la pena hacerlo bien desde el inicio, algo que conectamos en Cómo hacer que la IA recomiende tu negocio: guía para PyMEs en México.

Fuente: Let’s Encrypt (ISRG): autoridad certificadora gratuita; certificados con vigencia de 90 días.

Los errores más comunes al hacerlo por tu cuenta

Si decides intentarlo solo, conviene conocer las trampas en las que más cae la gente. No las listamos para asustarte, sino porque saberlas de antemano te ahorra dolores de cabeza, y porque dimensionan por qué este trabajo tiene más miga de la que parece:

• Instalar el certificado pero olvidar forzar la redirección: el sitio sigue accesible por la vía insegura. Es el error número uno.
• Dejar contenido mixto sin limpiar: el certificado está bien, pero como una imagen o un script cargan sin cifrar, el candado nunca aparece.
• Dejar que el certificado expire: la renovación automática falló y nadie se dio cuenta hasta que un cliente avisó.
• Romper enlaces o formularios al migrar, o configurar mal la versión con www frente a la versión sin www.
• Olvidar actualizar la dirección del sitio dentro de WordPress.
• Dejar fuera del certificado a los subdominios (la tienda, el blog o el área de clientes que viven en una dirección aparte).

Cada uno de estos descuidos deja el «No seguro» intacto o, peor, tumba parte del sitio.

¿Lo haces tú o te apoyas en un profesional?

No hay una sola respuesta correcta, depende de tu caso. Te lo planteamos con criterio honesto, sin empujarte a nada.

Puedes intentarlo tú si…

Tu hosting ya incluye SSL gratis y solo hay que activarlo, y tu sitio es sencillo: informativo, de pocas páginas, sin pagos ni formularios complejos. En ese escenario, activar el certificado y forzar HTTPS puede estar a tu alcance con paciencia y un buen respaldo previo.

Conviene apoyarte en un profesional si…

Tienes una tienda en línea o procesas pagos, manejas formularios con datos sensibles, usas varios subdominios, o vas a migrar un sitio que ya tiene tráfico y posicionamiento (un error en esa migración puede tirar el SEO que tanto te costó construir). También si arrastras contenido mixto que no logras limpiar o si existe el riesgo real de romper el sitio y no tienes forma de revertirlo. En esos casos, lo que parece un ahorro puede salir caro.

La regla sencilla: entre más cosas dependan de tu sitio (ventas, datos, reputación), menos conviene improvisar.

Mitos sobre el «No seguro» y el SSL

Mito	Realidad
«El candado significa que el sitio es seguro y confiable»	Solo cifra la conexión; hasta un sitio fraudulento puede tener candado
«El SSL es solo para tiendas en línea o sitios con pagos»	Desde 2018 aplica a todos: hasta un sitio informativo se marca «No seguro» sin él
«Es carísimo»	Muchos hostings lo incluyen gratis con Let’s Encrypt
«Con instalar el certificado ya quedó»	Falta forzar HTTPS y limpiar el contenido mixto
«Con el candado ya nadie puede hackear mi sitio»	El SSL cifra el tránsito de datos, no protege de malware, contraseñas débiles ni plugins vulnerables

Cómo verificar si tu sitio ya está bien

Para una primera revisión rápida, sin tecnicismos, fíjate en estas tres señales:

1. Que la dirección de tu sitio empiece con https:// y muestre el candado cerrado.
2. Que el candado aparezca en varias páginas distintas y no solo en la principal (si en alguna desaparece, suele ser contenido mixto).
3. Que el certificado no esté por vencer (si lo administras tú, anota la fecha de renovación).

Si algo de esto falla, ya sabes por dónde empezar o qué pedirle a quien te ayude. Si quieres ir más a fondo, existen herramientas gratuitas que analizan tu certificado y reportan errores, pero con esas tres señales tienes el panorama básico.

Preguntas frecuentes

¿Por qué mi página dice «no seguro»?

Porque la conexión de tu sitio no está cifrada. Las causas más comunes son: le falta un certificado SSL/TLS (o nunca se instaló); el certificado expiró y no se renovó; está mal configurado para tu dominio (por ejemplo, no cubre la versión con www); o hay contenido mixto, es decir, la página carga segura pero jala imágenes o scripts sin cifrar.

¿Es peligroso entrar a un sitio que dice «no seguro»?

Para navegar de forma casual, el riesgo es bajo. El peligro real aparece cuando escribes datos sensibles (contraseñas, tarjetas, información personal), porque en un sitio sin cifrar esa información viaja expuesta y puede interceptarse, sobre todo en redes WiFi públicas. Como regla, no ingreses datos importantes en una página marcada como «No seguro».

¿Me afecta en Google o en ventas?

Sí, en ambos frentes. Pierdes confianza del visitante, que tiende a irse al ver el aviso; partes en desventaja en Google, que usa HTTPS como señal de posicionamiento desde 2014; y frenas contactos y compras justo en el momento de decidir. En un mercado donde casi todo el tráfico es móvil, el aviso se nota mucho.

¿El certificado SSL es gratis?

A menudo sí. Muchos servicios de hosting incluyen certificados gratuitos a través de Let’s Encrypt, una autoridad sin fines de lucro. Existen también certificados de pago (con mayor verificación de identidad de tu empresa), pero para la mayoría de las PyMEs un certificado gratuito bien instalado cifra igual y es suficiente.

¿Cómo quito el «no seguro» de mi sitio?

Instala un certificado SSL/TLS válido (muchos hostings lo dan gratis), fuerza el HTTPS con una redirección 301 en todo el sitio y elimina el contenido mixto (imágenes o scripts que cargan sin cifrar). Después conviene avisarle a Google del cambio. No siempre es un solo paso, y una mala configuración puede dejar el aviso o romper el sitio.

¿El candado significa que el sitio es seguro?

No del todo. El candado significa que la conexión está cifrada, pero no garantiza que el sitio sea legítimo. Incluso páginas fraudulentas pueden mostrarlo. Es una señal necesaria, no una garantía de confianza absoluta.

¿Necesito SSL si no vendo nada en línea?

Sí. Desde 2018 los navegadores marcan como «No seguro» a todo sitio sin HTTPS, aunque sea solo informativo. Si recabas aunque sea un formulario de contacto, con más razón. El candado hoy es un requisito básico de cualquier sitio profesional, vendas o no.

¿Cuánto dura un certificado SSL y se renueva solo?

Depende del tipo. Los gratuitos de Let’s Encrypt duran 90 días y normalmente se renuevan de forma automática; los de pago suelen ser anuales. Lo clave es vigilar que la renovación ocurra, porque un certificado vencido hace que el aviso «No seguro» reaparezca de golpe.

¿El SSL mejora mi SEO?

Es un factor de posicionamiento confirmado por Google, pero ligero. Su mayor impacto es indirecto: un sitio seguro genera más confianza, reduce el rebote y cumple un requisito básico que los buscadores esperan. No esperes un salto por el candado solo, pero sin él partes en desventaja.

Diccionario rápido

Algunos términos que aparecen en esta guía, explicados en simple:

• HTTP: el protocolo clásico para transferir datos en la web. Viaja sin cifrar, a la vista de quien intercepte la conexión.
• HTTPS: la versión cifrada y segura de HTTP. Es la que muestra el candado y empieza con https://.
• SSL: la tecnología original de cifrado. Hoy es más bien el nombre coloquial que quedó por costumbre.
• TLS: el estándar real y actual de cifrado, sucesor del SSL, aunque se le siga llamando «SSL».
• Certificado SSL/TLS: la credencial digital que habilita el HTTPS y confirma que controlas tu dominio.
• Candado: el ícono del navegador que indica que la conexión está cifrada. No garantiza que el sitio sea legítimo.
• Autoridad certificadora (CA): la entidad de confianza que emite los certificados, como Let’s Encrypt o DigiCert.
• Let’s Encrypt: una autoridad certificadora gratuita y sin fines de lucro; sus certificados duran 90 días.
• Contenido mixto (mixed content): cuando una página segura (HTTPS) carga recursos sin cifrar (HTTP), lo que impide que aparezca el candado.
• Redirección 301: una redirección permanente; aquí, la que envía todo el tráfico de la versión insegura a la segura.
• DV, OV y EV: los niveles de validación de un certificado: de dominio, de organización y extendida. Todos cifran igual.
• Hosting: el servicio donde vive tu sitio web.
• Dominio: la dirección de tu sitio, como tunegocio.com.

Conclusión

El aviso «No seguro» no es el fin del mundo, pero tampoco es un detalle cosmético que puedas ignorar. Significa que tu sitio no cifra la conexión, y eso se traduce en clientes que desconfían, una desventaja frente a Google y datos que viajan expuestos. En una web donde prácticamente todos los sitios serios ya tienen su candado, quedarte sin él es mandar una señal equivocada justo a quien estabas por convencer.

La buena noticia es que tiene solución, y muchas veces ni siquiera es cara. Lo que sí requiere es hacerlo bien: instalar el certificado correcto, forzar el HTTPS, limpiar el contenido mixto y mantener todo al día. Si tu sitio es sencillo, quizá puedas con ello; si de tu web dependen ventas, datos o tu reputación, vale la pena no arriesgarlo. Lo importante es que ese candado, bien puesto, deja de ser una preocupación y se convierte en una base de confianza sobre la que sí puedes crecer.

---

Te invitamos a leer más

• Por qué no me llegan clientes por internet: las 6 razones reales (y cómo saber cuál es la tuya)
• Qué es el SEO y cómo funciona: guía clara para PyMEs en México
• Cómo hacer que la IA recomiende tu negocio: guía para PyMEs en México
• Registro de marca ante el IMPI 2026: costos, pasos y errores que te cuestan dinero

Fuentes consultadas

#	Fuente y dato clave	Tipo	Año
1	Google, Chrome 68 marca «No seguro» a los sitios HTTP	Oficial	jul 2018
2	Google Search Central, «HTTPS as a ranking signal»: señal ligera, menos del 1% de consultas	Oficial	2014
3	Google Security, «HTTPS by default»: ~95% de cargas usan HTTPS (98% público); Chrome pedirá confirmación en HTTP desde oct 2026	Oficial	oct 2025
4	Anti-Phishing Working Group (APWG), Phishing Activity Trends Reports	Oficial	2025
5	John Cabot (vía Search Engine Land): 46% no daría datos en un sitio «no seguro», 64% lo abandonaría	Proveedor	2018
6	AMVO, Estudio de Venta Online 2026: 941 mil M MXN (+19.2%), 77.2 M compradores	Asociación	2025
7	INEGI, ENDUTIH 2024: 100.2 M usuarios (83.1%); 97.2% se conecta por celular	Oficial	2024
8	Let’s Encrypt (ISRG): autoridad gratuita, certificados de 90 días, renovación vía ACME/certbot	Especialista	2025
9	Dotkeeper (recopila dato APWG): cerca del 80% de los dominios de phishing usan SSL	Proveedor	2025

Nota de método: las cifras de Google e INEGI son de fuentes oficiales; las de AMVO son de asociación; el dato del APWG y la encuesta de John Cabot, así como Dotkeeper, son de proveedores o se recopilan por proveedores y se presentan como estimaciones (la encuesta es de otro país y de 2018, ilustrativa). El efecto de HTTPS en SEO es, según la propia Google, «ligero». Conviene reverificar antes de tomar decisiones.

Gracias por leer.