HTTPS en WordPress: certificado, URLs y redirecciones
Para usar HTTPS en WordPress necesitas un certificado válido para el dominio y un servidor que lo utilice correctamente. Después debes revisar URLs, redirecciones y recursos. Instalar un plugin no sustituye la configuración del servidor o proveedor.
Si el sitio ya funciona, respalda archivos y base y conserva acceso al panel del hosting. Un cambio de URL incorrecto puede impedir el acceso administrativo.
Identifica quién atiende TLS
En un hosting administrado puede hacerlo el proveedor. En un VPS puedes administrarlo con herramientas como Certbot. Si hay un proxy o CDN, también debes revisar la conexión con el origen.
El candado del navegador describe una conexión, no toda la arquitectura. Comprueba cada tramo y evita suponer que el certificado de una capa sirve automáticamente para otra.
Instala o activa el certificado
Utiliza el mecanismo oficial del alojamiento o de la autoridad elegida. Verifica nombres cubiertos, vigencia y método de renovación.
Prueba la URL HTTPS antes de cambiar WordPress. Una advertencia de identidad requiere revisar dominio y certificado; no debe enseñarse al visitante a ignorarla.
Revisa las URLs de WordPress
Cuando el servidor ya atienda correctamente, ajusta las direcciones correspondientes al diseño. home y siteurl pueden tener funciones distintas en instalaciones particulares, por lo que no deben igualarse sin entender la estructura.
Conserva el acceso de recuperación y evita definir el mismo valor en varios lugares sin documentarlo. Una constante en wp-config.php puede afectar lo que puedes cambiar desde la administración.
Sustituye referencias con herramientas apropiadas
Los enlaces antiguos pueden vivir en entradas, opciones, widgets o datos serializados. Utiliza una herramienta compatible y comienza con una simulación y respaldo.
No apliques un reemplazo de texto indiscriminado al SQL. En un cambio de dominio o protocolo, revisa también integraciones y contenido externo que no controlas.
Redirecciones sin bucles
Define qué capa fuerza HTTPS y cuál es el dominio principal. Si un proxy interpreta el origen de una forma y WordPress de otra, pueden aparecer redirecciones repetidas.
Prueba HTTP, HTTPS y variantes del nombre desde una sesión nueva. Comprueba destino final y que no se rompan rutas internas.
Contenido mixto y formularios
Una página HTTPS puede solicitar imágenes, scripts o estilos por HTTP. Revisa las herramientas del navegador y actualiza referencias cuando corresponda.
Comprueba también formularios, cargas de archivos y recursos de terceros. Que la portada abra no demuestra que todos los flujos usen conexiones correctas.
Renovación y mantenimiento
Identifica quién renueva el certificado y cómo detectar un fallo. Si tu método ofrece una prueba de renovación, utilízala en condiciones apropiadas.
No actives HSTS con subdominios o precarga sin revisar sus efectos y el estado de todos los servicios involucrados. Es una decisión adicional, no un requisito de copiar una receta.
Preguntas frecuentes
¿Cambiar http por https instala el certificado?
No. El servidor debe atender TLS correctamente antes de que el cambio de URLs sea útil.
¿Cloudflare elimina la necesidad de revisar el origen?
No. Comprueba modo TLS, certificado y acceso al servidor según el diseño.
¿HTTPS garantiza que el sitio no será comprometido?
No. Protege aspectos de la conexión; la seguridad de WordPress también depende de código, cuentas, permisos y mantenimiento.
En pocas palabras
HTTPS exige un certificado y una configuración coherentes con el nombre del sitio. Cambiar URLs en WordPress no configura por sí solo TLS ni corrige todos los recursos antiguos.
Conclusión
Prueba HTTPS antes de forzar redirecciones y conserva una forma de revertir. Revisa enlaces, formularios y recursos y comprueba la renovación del certificado utilizado.
Para continuar, revisa Cómo instalar WordPress paso a paso: guía rápida y WordPress en Docker (ARM y x86): guía completa con docker-compose, Dockerfile y PHP.ini.