¿Qué son HTTPS y SSL? Cómo funcionan las webs seguras, explicado de forma sencilla

HTTPS es la versión segura de HTTP, el protocolo que usan los navegadores para hablar con las webs. Envuelve cada petición y cada respuesta en una conexión cifrada mediante TLS (Transport Layer Security), de modo que nadie entre el visitante y la web puede leer ni manipular lo que se envía. SSL es el nombre antiguo de la misma idea, el protocolo original que TLS sustituyó, y por eso la gente sigue diciendo «certificado SSL».

Por qué importa HTTPS al crear con IA

Cualquier app que publiques debería servirse por HTTPS. Y no es solo una buena práctica:

Los navegadores lo esperan. Las webs en HTTP sin cifrar aparecen marcadas como «No segura», y algunas funciones del navegador, como el acceso a la ubicación, la cámara y el micrófono, o los service workers para apps sin conexión, normalmente solo funcionan en páginas seguras (HTTPS).
Inicios de sesión y formularios. Sin HTTPS, las contraseñas, las cookies de sesión y los datos de formularios viajan como texto legible. Cualquiera en el mismo Wi-Fi de una cafetería podría capturarlos.
Pagos y terceros. Los proveedores de pagos, el inicio de sesión con OAuth y muchas APIs exigen URLs de redirección y de callback en HTTPS.
Confianza y buscadores. Los visitantes ven la advertencia, y Google ha dicho que considera HTTPS una señal de posicionamiento.

La buena noticia es que, en la mayoría de plataformas de alojamiento modernas, HTTPS se configura automáticamente. Lo que sí necesitas es entender las piezas lo bastante bien para arreglarlo cuando un dominio propio o una advertencia de contenido mixto falle.

Una analogía cotidiana

Enviar datos por HTTP sin cifrar es como mandar una postal: cada cartero que la maneja puede leerla, e incluso alguien podría cambiar el mensaje.

HTTPS es como enviar un sobre sellado y a prueba de manipulaciones, y antes comprobar la identidad oficial del destinatario. El certificado es ese documento de identidad, emitido por una autoridad de confianza (la autoridad de certificación) que ha comprobado que la web controla de verdad el dominio. El cifrado es el sobre sellado. La identidad demuestra que escribes a la dirección correcta; el sobre mantiene el contenido en privado.

Cómo funciona HTTPS, en pocas palabras

Cuando un navegador abre https://tienda.ejemplo.com:

Saludo. El navegador se conecta e indica qué métodos de cifrado soporta.
Certificado. El servidor envía su certificado, que dice «esta clave pertenece a tienda.ejemplo.com» y está firmado por una autoridad de certificación.
Comprobación. El navegador verifica la firma con las autoridades en las que ya confía, comprueba que el certificado no ha caducado y que el dominio coincide.
Claves. Navegador y servidor acuerdan una clave secreta nueva para esta sesión, sin enviarla nunca en abierto.
Conversación cifrada. Todas las peticiones y respuestas (páginas, datos de formularios, cookies) viajan ahora cifradas.

Este handshake TLS tarda unos pocos milisegundos y ocurre automáticamente. El visitante solo ve el icono del candado (o, en algunos navegadores, un icono neutro de información del sitio).

Qué protege HTTPS y qué no

Protege	No protege
Los datos en tránsito entre navegador y servidor	Los datos una vez están en tu servidor o en tu base de datos
Frente a espiar en Wi-Fi públicos	Frente a una web maliciosa o fraudulenta
Frente a que alteren las páginas por el camino	Frente a errores de tu app, como falta de comprobaciones de permisos
Las cookies y contraseñas mientras se envían	Frente a contraseñas débiles o claves de API filtradas

HTTPS cifra el contenido de las peticiones, incluida la ruta de la página y los parámetros de la URL. Pero el nombre de dominio que visitas suele seguir siendo visible para las redes por las que pasa. Esa es una de las razones para no poner nunca datos personales en las URLs: además acaban en registros y en el historial del navegador.

Ejemplo práctico: conectar un dominio propio

Imagina que publicas una app de reservas y quieres que esté en reservas.miestudiodeyoga.com:

Añades un registro DNS que apunta reservas.miestudiodeyoga.com a tu host. Consulta cómo funcionan los dominios y el DNS.
El host demuestra ante una autoridad de certificación que controla ese nombre, normalmente respondiendo a un desafío en ese dominio, y recibe un certificado.
El host lo instala y lo renueva automáticamente antes de que caduque. Los certificados son deliberadamente de corta duración, así que la renovación automática es importante.
Los visitantes que entren en http://reservas.miestudiodeyoga.com son redirigidos a https://.

Si el paso 1 está mal (el registro apunta a otro sitio, o hay un proxy en medio), el paso 2 puede fallar y los visitantes verán un error de certificado. Es el problema de HTTPS más habitual al conectar un dominio propio.

Términos clave

Término	Significado
TLS	Transport Layer Security, el protocolo de cifrado que hay detrás de HTTPS.
SSL	Secure Sockets Layer, el predecesor obsoleto de TLS. El nombre sigue vivo.
Certificado	Un archivo firmado que vincula un dominio con una clave pública.
Autoridad de certificación (CA)	Una organización en la que confían los navegadores para emitir certificados, como Let's Encrypt.
Validación de dominio (DV)	Un certificado que prueba el control del dominio; es el que usan casi todas las webs.
Certificado comodín (wildcard)	Cubre todos los subdominios de un nivel, como `*.ejemplo.com`.
Contenido mixto	Una página HTTPS que carga algunos recursos por HTTP sin cifrar. Los navegadores lo bloquean o advierten.
HSTS	Una cabecera que indica a los navegadores que usen siempre HTTPS con tu web a partir de ese momento.
Puerto 443	El puerto estándar de HTTPS (HTTP usa el 80).

Errores habituales y malentendidos

«El candado significa que la web es de confianza». Significa que la conexión es privada y que el dominio coincide. Los estafadores también obtienen certificados.
«HTTPS solo hace falta en las páginas de pago». Cualquier página con inicio de sesión, formulario o cookie lo necesita, que es casi cualquier app. Úsalo en todas partes.
«Los certificados son caros». Los certificados gratuitos y de confianza son lo habitual, y la mayoría de hosts los gestionan por ti.
«HTTPS hace segura mi app». Asegura la conexión. Tu app sigue necesitando comprobaciones de permisos en el servidor, gestión segura de secretos y validación de datos. Consulta la lista de seguridad para apps creadas con IA.
«HTTPS hace las webs lentas». El TLS moderno añade muy poca sobrecarga, y funciones como HTTP/2, que hacen las webs más rápidas, en los navegadores generalmente requieren HTTPS.

Cómo arreglar los problemas habituales de HTTPS

Síntoma	Causa probable
«Tu conexión no es privada»	El certificado no cubre este dominio exacto, ha caducado o aún no se ha emitido
Funciona con `www.` pero no con el dominio sin `www` (o al revés)	Solo uno de los dos nombres tiene DNS y certificado
Falta el candado, «No segura» en algunas páginas	Contenido mixto: una imagen, script o fuente cargado por `http://`
Error de certificado justo después de conectar un dominio	El DNS aún se está propagando, o un proxy delante bloquea la comprobación del certificado

Qué pedir a tu creador de apps con IA

«Asegúrate de que todas las imágenes, scripts y fuentes se cargan por HTTPS o con una URL relativa, sin enlaces http://.»
«Redirige todo el tráfico HTTP a HTTPS.»
«Configura las cookies de sesión con los indicadores Secure y HttpOnly.»
«Usa https:// en todas las URLs de callback de OAuth, de pagos y de webhooks.»
«Mi dominio propio muestra un error de certificado: ¿qué registro DNS espera el host?»

HTTPS en Mythex

Cuando conectas un dominio propio en Mythex (una función de Pro), añades un registro CNAME que apunta al destino slug.mythex.ai que te muestra Mythex, haces clic en Verificar y Mythex emite HTTPS para el dominio automáticamente. La documentación cubre los dos tropiezos más habituales: si tu DNS está en Cloudflare, configura el registro como «Solo DNS» (nube gris) y no como proxy, para que Mythex pueda emitir el certificado; y el DNS puede verificarse antes de que HTTPS esté completamente configurado, así que espera unos minutos y verifica de nuevo. Consulta dominios propios en la documentación y nuestra guía sobre cómo conectar un dominio propio.

Preguntas

¿Cuál es la diferencia entre HTTP y HTTPS?

HTTP envía los datos entre el navegador y la web como texto legible. HTTPS es HTTP enviado a través de una conexión TLS cifrada, de modo que nadie de la misma red o de la ruta puede leer ni modificar lo que se envía, y el navegador puede comprobar que está hablando con la web real.

¿SSL y TLS son lo mismo?

TLS es el sucesor moderno de SSL. Todas las versiones de SSL están obsoletas y son inseguras, y las webs seguras de hoy usan TLS. Mucha gente sigue diciendo «certificado SSL» por costumbre, pero los certificados se usan con TLS.

¿El candado significa que una web es segura?

No. El candado indica que la conexión está cifrada y que el certificado coincide con el dominio. Una web fraudulenta también puede tener un certificado válido. Solo te dice que nadie puede espiar la conexión, no que el dueño de la web sea de confianza.

¿Tengo que pagar por un certificado SSL?

Normalmente no. Las autoridades de certificación gratuitas y automatizadas, como Let's Encrypt, emiten certificados que los navegadores aceptan, y la mayoría de plataformas de alojamiento los obtienen y renuevan por ti. Los certificados de pago añaden sobre todo soporte o verificaciones de identidad adicionales.

¿Por qué mi web dice No segura?

Las causas habituales son abrir la web con http:// en lugar de https://, un certificado caducado o que no cubre exactamente ese dominio, o una página que carga imágenes o scripts por http:// sin cifrar (contenido mixto).