¿Qué son HTTPS y SSL? Cómo funcionan los sitios web seguros, explicado sencillamente

HTTPS es la versión segura de HTTP, el protocolo que usan los navegadores para comunicarse con los sitios web. Envuelve cada solicitud y respuesta en una conexión cifrada mediante TLS (Transport Layer Security), de modo que nadie entre el visitante y el sitio web puede leer ni alterar lo que se envía. SSL es el nombre anterior de la misma idea (el protocolo original que TLS reemplazó), por eso mucha gente sigue diciendo «certificado SSL».

Por qué importa HTTPS al construir con IA

Cualquier app que publiques debería servirse por HTTPS. Y no es solo una buena práctica:

Los navegadores lo esperan. Los sitios en HTTP sin cifrar se etiquetan como «No seguro», y algunas funciones del navegador, como el acceso a la ubicación, la cámara y el micrófono, o los service workers para apps que funcionan sin conexión, generalmente solo funcionan en páginas seguras (HTTPS).
Inicios de sesión y formularios. Sin HTTPS, las contraseñas, las cookies de sesión y los datos de formularios viajan en texto legible. Cualquiera en la misma red Wi-Fi de una cafetería podría capturarlos.
Pagos y terceros. Los proveedores de pago, el inicio de sesión OAuth y muchas APIs exigen URLs de redirección y de callback en HTTPS.
Confianza y buscadores. Los visitantes ven la advertencia, y Google ha dicho que considera HTTPS una señal de posicionamiento.

La buena noticia: en la mayoría de las plataformas de hosting modernas, HTTPS se configura automáticamente. Lo que sí necesitas es entender las piezas lo suficiente para arreglarlo cuando un dominio personalizado o una advertencia de contenido mixto falla.

Una analogía cotidiana

Enviar datos por HTTP sin cifrar es como mandar una postal: todos los carteros que la manejan pueden leerla, e incluso alguien podría cambiar el mensaje.

HTTPS es como enviar un sobre sellado a prueba de manipulaciones, y antes verificar la identificación oficial del destinatario. El certificado es esa identificación, emitida por una autoridad de confianza (la autoridad de certificación) que ha comprobado que el sitio web realmente controla el dominio. El cifrado es el sobre sellado. La identificación demuestra que escribes a la dirección correcta; el sobre mantiene privado el contenido.

Cómo funciona HTTPS, en sencillo

Cuando un navegador abre https://shop.example.com:

Hola. El navegador se conecta y dice qué métodos de cifrado soporta.
Certificado. El servidor envía su certificado, que dice «esta clave pertenece a shop.example.com» y está firmada por una autoridad de certificación.
Comprobación. El navegador verifica la firma con las autoridades en las que ya confía, comprueba que el certificado no haya caducado y que el dominio coincida.
Claves. El navegador y el servidor acuerdan una clave secreta nueva para esta sesión, sin enviarla nunca a la vista de todos.
Conversación cifrada. Todas las solicitudes y respuestas (páginas, datos de formularios, cookies) viajan ahora cifradas.

Este handshake TLS dura unos pocos milisegundos y ocurre automáticamente. El visitante solo ve el icono del candado (o, en algunos navegadores, un icono neutro de información del sitio).

Qué protege HTTPS y qué no

Protege	No protege
Los datos en tránsito entre el navegador y el servidor	Los datos una vez que están en tu servidor o en tu base de datos
Contra el espionaje en redes Wi-Fi públicas	Contra un sitio web malicioso o fraudulento
Contra alguien que altere las páginas en el camino	Contra errores en tu app, como falta de comprobaciones de permisos
Las cookies y contraseñas mientras se envían	Contra contraseñas débiles o claves de API filtradas

HTTPS cifra el contenido de las solicitudes, incluida la ruta de la página y la cadena de consulta. Pero el nombre de dominio que visitas suele seguir siendo visible para las redes por las que pasa. Esa es una razón más para nunca poner datos personales en las URLs: además acaban en los registros del servidor y en el historial del navegador.

Ejemplo práctico: conectar un dominio personalizado

Supón que publicas una app de reservas y quieres que esté en book.myyogastudio.com:

Añades un registro DNS que apunta book.myyogastudio.com a tu host. Consulta cómo funcionan los dominios y el DNS.
El host demuestra a una autoridad de certificación que controla ese nombre, normalmente respondiendo a un desafío en ese dominio, y recibe un certificado.
El host instala el certificado y lo renueva automáticamente antes de que venza. Los certificados son deliberadamente de corta duración, así que la renovación automática es importante.
Los visitantes que entran por http://book.myyogastudio.com son redirigidos a https://.

Si el paso 1 está mal (el registro apunta a otro sitio, o hay un proxy en medio), el paso 2 puede fallar y los visitantes ven un error de certificado. Es el problema de HTTPS más común al conectar un dominio personalizado.

Términos clave

Término	Significado
TLS	Transport Layer Security, el protocolo de cifrado detrás de HTTPS.
SSL	Secure Sockets Layer, el predecesor obsoleto de TLS. El nombre sigue usándose.
Certificado	Un archivo firmado que vincula un dominio con una clave pública.
Autoridad de certificación (CA)	Una organización en la que confían los navegadores para emitir certificados, como Let's Encrypt.
Validación de dominio (DV)	Un certificado que demuestra el control del dominio; es el que usa casi todo sitio.
Certificado comodín (wildcard)	Cubre todos los subdominios de un nivel, como `*.example.com`.
Contenido mixto	Una página HTTPS que carga algunos recursos por HTTP sin cifrar. Los navegadores lo bloquean o advierten.
HSTS	Una cabecera que indica a los navegadores que usen siempre HTTPS con tu sitio a partir de ese momento.
Puerto 443	El puerto estándar para HTTPS (HTTP usa el puerto 80).

Malentendidos comunes

«El candado significa que el sitio es de confianza». Significa que la conexión es privada y que el dominio coincide. Los estafadores también obtienen certificados.
«HTTPS solo hace falta en las páginas de pago». Cualquier página con inicio de sesión, un formulario o una cookie lo necesita, que es casi toda app. Úsalo en todas partes.
«Los certificados son caros». Los certificados gratuitos y de confianza son lo habitual, y la mayoría de los hosts los gestionan por ti.
«HTTPS hace que mi app sea segura». Protege la conexión. Tu app sigue necesitando comprobaciones de permisos en el servidor, un manejo seguro de los secretos y validación de entradas. Consulta la lista de seguridad para apps creadas con IA.
«HTTPS hace los sitios lentos». El TLS moderno añade muy poca carga, y funciones como HTTP/2, que hacen los sitios más rápidos, generalmente requieren HTTPS en los navegadores.

Cómo solucionar problemas comunes de HTTPS

Síntoma	Causa probable
«Tu conexión no es privada»	El certificado no cubre este dominio exacto, ha caducado o aún no se ha emitido
Funciona con `www.` pero no con el dominio sin `www` (o al revés)	Solo uno de los dos nombres tiene DNS y certificado
Falta el candado, «No seguro» en algunas páginas	Contenido mixto: una imagen, script o fuente cargada por `http://`
Error de certificado justo después de conectar un dominio	El DNS aún se está propagando, o un proxy delante bloquea la verificación del certificado

Qué pedir a tu creador de apps con IA

«Asegúrate de que cada imagen, script y fuente se cargue por HTTPS o con una URL relativa; nada de enlaces http://.»
«Redirige todo el tráfico HTTP a HTTPS.»
«Configura las cookies de sesión con las marcas Secure y HttpOnly.»
«Usa https:// para cada URL de callback de OAuth, pagos y webhooks.»
«Mi dominio personalizado muestra un error de certificado: ¿qué registro DNS espera el host?»

HTTPS en Mythex

Cuando conectas un dominio personalizado en Mythex (función de Pro), añades un registro CNAME que apunta al destino slug.mythex.ai que Mythex te muestra, haces clic en Verificar, y Mythex emite HTTPS para el dominio automáticamente. La documentación cubre los dos tropiezos más comunes: si tu DNS está en Cloudflare, configura el registro como «Solo DNS» (nube gris) en lugar de con proxy, para que Mythex pueda emitir el certificado; y el DNS puede verificarse antes de que HTTPS esté completamente configurado, así que espera unos minutos y verifica de nuevo. Consulta dominios personalizados en la documentación y nuestra guía sobre cómo conectar un dominio personalizado.

Preguntas

¿Cuál es la diferencia entre HTTP y HTTPS?

HTTP envía los datos entre el navegador y el sitio web como texto legible. HTTPS es HTTP enviado a través de una conexión TLS cifrada, de modo que las personas de la misma red o a lo largo de la ruta no pueden leer ni modificar lo que se envía, y el navegador puede comprobar que está hablando con el sitio real.

¿SSL y TLS son lo mismo?

TLS es el sucesor moderno de SSL. Todas las versiones de SSL están obsoletas e son inseguras, y los sitios web seguros actuales usan TLS. Mucha gente sigue diciendo «certificado SSL» por costumbre, pero los certificados se usan con TLS.

¿El candado significa que un sitio web es seguro?

No. El candado indica que la conexión está cifrada y que el certificado coincide con el dominio. Un sitio fraudulento también puede tener un certificado válido. Solo te dice que nadie puede espiar la conexión, no que el dueño del sitio sea de confianza.

¿Tengo que pagar por un certificado SSL?

Normalmente no. Las autoridades de certificación gratuitas y automatizadas, como Let's Encrypt, emiten certificados que los navegadores confían, y la mayoría de las plataformas de hosting los obtienen y renuevan por ti. Los certificados de pago añaden sobre todo soporte o verificaciones de identidad adicionales.

¿Por qué mi sitio dice «No seguro»?

Las causas más comunes son abrir el sitio con http:// en lugar de https://, un certificado caducado o que no cubre ese dominio exacto, o una página que carga imágenes o scripts por http:// sin cifrar (contenido mixto).