HTTPS "No seguro": solución paso a paso para tu página

La solución al “HTTPS no seguro” depende de qué ves exactamente. Si la página dice “No seguro” y la dirección empieza con http://, te falta el certificado SSL o la redirección a HTTPS. Si ya abre con https:// pero sigue la advertencia o el candado tiene un aviso, casi siempre es contenido mixto: imágenes, scripts o fuentes que se cargan con http://. Y si sale una pantalla completa de error (“Tu conexión no es privada”), el certificado está vencido o no corresponde al dominio.

Paso 1: identifica cuál de los tres casos es

Lo que ves	Qué significa	Ve a
“No seguro” y la dirección es http://	No hay SSL o no redirige	Caso A
https:// pero con advertencia o sin candado completo	Contenido mixto	Caso B
Pantalla roja/gris: “Tu conexión no es privada” con un código NET::ERR_CERT_...	Certificado vencido, inválido o de otro dominio	Caso C

Prueba en una ventana de incógnito y desde el celular con datos móviles, para descartar el caché.

Caso A: no hay SSL o no redirige a HTTPS

1. Escribe a mano https://tudominio.mx. Si abre con candado, el certificado existe: solo falta forzar la redirección.
2. Si no abre con https, tienes que emitir el certificado. En la mayoría de los hostings y plataformas es gratis y automático; los pasos por proveedor están en certificado SSL gratis.
3. Activa la redirección:
   • Cloudflare: SSL/TLS → Edge Certificates → Always Use HTTPS.
   • Vercel / Netlify: lo hacen solos al conectar el dominio.
   • cPanel / Hostinger: busca la opción de forzar HTTPS en la sección de SSL o dominios.
   • Apache con .htaccess:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Caso B: contenido mixto

Cómo encontrarlo

1. Abre tu página en Chrome.
2. Presiona F12 (o clic derecho → Inspeccionar) y ve a la pestaña Console.
3. Recarga. Verás mensajes como:

Mixed Content: The page at 'https://tudominio.mx/' was loaded over HTTPS,
but requested an insecure image 'http://tudominio.mx/img/logo.png'.

En español: “la página se cargó de forma segura, pero pidió una imagen insegura”. Cada mensaje te dice qué archivo está mal.

Cómo arreglarlo

• Cambia las direcciones a https:// en tu código o contenido. Si el recurso es de tu mismo sitio, usa rutas relativas (/img/logo.png).
• Si el recurso externo no existe en https (un widget viejo, por ejemplo), cámbialo por otro o descárgalo y súbelo a tu sitio.
• En WordPress:
  1. En Ajustes → Generales, que la dirección de WordPress y la del sitio empiecen con https://.
  2. Las imágenes viejas suelen tener http:// guardado en la base de datos. Un plugin de “buscar y reemplazar” lo resuelve; haz respaldo antes (copia de seguridad de una página web).
• Cloudflare: tiene la opción Automatic HTTPS Rewrites, que corrige muchos casos automáticamente.
• Como red de seguridad, puedes pedirle al navegador que suba solo las peticiones a https con esta etiqueta en el <head>:

<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">

No sustituye corregir las direcciones, pero ayuda mientras lo haces.

Caso C: certificado vencido o inválido

Los códigos más comunes:

• NET::ERR_CERT_DATE_INVALID: el certificado venció o la fecha de tu computadora está mal. Revisa por qué no se renovó (un registro DNS borrado, un cambio de servidor, la renovación automática apagada).
• NET::ERR_CERT_COMMON_NAME_INVALID: el certificado es de otro dominio. Típico cuando cubre tudominio.mx pero no www.tudominio.mx, o cuando el dominio apunta a un servidor que no lo tiene configurado.
• NET::ERR_CERT_AUTHORITY_INVALID: es un certificado autofirmado o de una autoridad no reconocida. Cámbialo por uno de Let’s Encrypt o del hosting.

Puedes ver las fechas y para qué dominios es el certificado desde la terminal:

echo | openssl s_client -connect tudominio.mx:443 -servername tudominio.mx 2>/dev/null \
  | openssl x509 -noout -dates -ext subjectAltName

Casos según la plataforma

• Lovable, Bolt, Replit: si el dominio conectado sale sin candado, casi siempre es DNS (por ejemplo el proxy naranja de Cloudflare encendido cuando la plataforma pide “DNS only”). Ve Lovable dominio personalizado y dominio personalizado en Replit.
• Cloudflare en modo Flexible: el visitante ve candado, pero entre Cloudflare y tu servidor la conexión va sin cifrar, y a veces se produce un bucle de redirecciones. Usa Full (strict) si tu servidor tiene certificado.
• Formularios que envían a http://: el navegador avisa al enviar. Cambia la dirección del action o del fetch a https.

Qué revisar al final

• http://tudominio.mx redirige a https://tudominio.mx
• www y sin www abren con candado
• La consola de Chrome no muestra “Mixed Content”
• El certificado vence en más de 2 semanas y se renueva solo
• Los formularios y el checkout funcionan con https

En resumen

“No seguro” casi siempre es una de tres cosas: no hay SSL o no redirige, hay contenido mixto, o el certificado venció o no cubre el dominio. Identifica el caso y aplica el arreglo. Si después de todo sigue la advertencia, o tu sitio entra en un bucle de redirecciones, en Black Engine lo revisamos contigo por WhatsApp.