Esta guía es para el dueño de una pyme que vio el aviso en su propia web, o a quien un cliente le mandó la captura. Vas a ver qué significa cada aviso según la ayuda oficial de cada navegador y las cinco causas posibles, con qué revisar y qué pedirle a tu hosting.
¿Por qué mi página web aparece como no segura?
Porque el navegador no puede garantizar que lo que tu cliente escribe o ve viaja cifrado y viene de verdad de tu web. Para el navegador, eso es un sitio no seguro. Los avisos son de tres tipos y no son igual de graves:
| Lo que ve tu cliente | Qué suele significar | Gravedad |
|---|---|---|
| «No seguro» o «No es seguro» junto a la dirección, o un aviso de Chrome antes de entrar | La web se abre sin HTTPS | Media: se arregla con configuración, pero Chrome ya puede frenar la primera visita |
| Página completa: «La conexión no es privada» o «Tu conexión no es privada» | El certificado venció, es de otro dominio o está mal instalado, o el problema está en el equipo de quien mira | Alta: el navegador corta la entrada |
| Pantalla roja: «Sitio peligroso» | Google detectó malware, phishing o software no deseado | Urgente: probablemente te hackearon |
¿Qué dice el aviso en cada navegador?
Cada navegador usa sus palabras, pero los casos son los mismos: web sin HTTPS, certificado con problemas y sitio marcado como peligroso. Ante una web sin HTTPS, Chrome dice «No es seguro», Edge «No es totalmente seguro», Safari «No seguro» y Firefox muestra un escudo con una línea roja. Esto dice la documentación de cada uno:
| Navegador | Sin HTTPS | Certificado con problemas | Sitio marcado como peligroso |
|---|---|---|---|
| Chrome | «No es seguro» | «La conexión no es privada», a página completa | Pantalla roja de «Sitio peligroso», de la Navegación segura de Google |
| Edge | En el ícono junto a la dirección, Edge indica «No es totalmente seguro» | En el mismo ícono: «Configuración de seguridad obsoleta», cuando el certificado no es válido, caducó o es autofirmado (lo firmó el propio servidor y no una autoridad reconocida) | «Sitio web sospechoso o peligroso», de Microsoft Defender SmartScreen |
| Safari | «No seguro», «Sitio no seguro» o «Esta conexión no es segura» | Los mismos mensajes, si el certificado venció o no es legítimo, o si el sitio usa una versión antigua del cifrado | Su ayuda sobre «No seguro» no trata este caso |
| Firefox | Un escudo con una línea roja o, en versiones anteriores, un candado tachado en rojo | El mismo ícono y una página de advertencia de riesgo de seguridad, con un código de error | Aviso de sitio engañoso o de página de ataque reportada |
Fuentes: Chrome, Edge, Safari, Firefox y sus códigos de error.
Google anunció en octubre de 2025 que, con Chrome 154, previsto para octubre de 2026, la opción «Usar siempre conexiones seguras» vendría activada para los sitios públicos: antes de abrir una web sin HTTPS que la persona no visitó hace poco, Chrome le pide permiso (blog de seguridad de Chrome).
¿Qué causa el aviso? Las 5 causas y cómo revisar cada una
No hay certificado, el certificado venció, es de otro dominio, falta la redirección a HTTPS o Google marcó el sitio como peligroso. Las cuatro primeras son de configuración y las arregla tu hosting o tu desarrollador. La quinta suele ser un hackeo.
Si prefieres un diagnóstico rápido, el análisis de seguridad gratis revisa tu página principal: si usa HTTPS, si el certificado es válido y cuándo vence, si la versión con http lleva a la versión con https y si hay imágenes o códigos que se cargan sin cifrar. El informe gratis, que es parcial, llega a tu correo; el completo cuesta $10.000, IVA incluido.
1. No hay certificado
Sin certificado no hay HTTPS. Pasa con webs antiguas o con las que se cambiaron de hosting y nadie volvió a instalarlo. Escribe tu dirección con https:// al inicio: si no carga o sale un error, no hay certificado para ese dominio.
Qué pedirle a tu hosting: que instale uno para tu dominio, con y sin www. En cPanel, el estado del certificado de cada dominio se ve en «SSL/TLS Status» (cPanel).
2. El certificado venció
Si nadie lo renovó, el navegador bloquea la entrada. Firefox muestra el código SEC_ERROR_EXPIRED_CERTIFICATE y explica que la certificación de identidad del sitio caducó (Mozilla). Para ver la fecha, haz clic en el ícono a la izquierda de la dirección y abre el detalle del certificado.
Qué pedirle a tu hosting: que lo renueve y active la renovación automática. En cPanel, AutoSSL intenta renovar los certificados de Let's Encrypt cuando les quedan 29 días (cPanel). Si en «SSL/TLS Status» le quedan menos de 29 días y no se renovó, pide que revisen por qué falla AutoSSL, por ejemplo si el dominio ya no apunta a ese hosting.
3. El certificado es de otro dominio, o no cubre el www
Un certificado vale para los nombres que lleva escritos, y puede llevar varios (web.dev). Si cubre tutienda.cl y tu cliente entra por www.tutienda.cl, el navegador avisa. En Firefox es el error SSL_ERROR_BAD_CERT_DOMAIN, un certificado que no es válido para ese sitio; Chrome lista ERR_CERT_COMMON_NAME_INVALID entre los errores de «Tu conexión no es privada» (ayuda de Chrome).
El AutoSSL de cPanel agrega la versión con www de cada dominio, pero solo si esa dirección pasa la validación de que el dominio es tuyo (cPanel). Si el www apunta a otro servidor, queda fuera.
Qué pedirle a tu hosting: que el certificado incluya tudominio.cl y www.tudominio.cl, y que los dos apunten al mismo servidor.
4. La redirección de HTTP a HTTPS no está activa
Tienes certificado, pero quien escribe tu dirección sin https://, o llega por un enlace antiguo, puede abrir la versión sin cifrar y ver «No seguro». Por eso tú puedes ver tu web bien y tu cliente no.
Para probarlo, escribe http://tudominio.cl y haz clic en la barra de direcciones para ver la dirección completa: si no cambió a https://, falta la redirección. Ojo: tu navegador puede pasar solo a HTTPS, porque Chrome con «Usar siempre conexiones seguras» cambia las direcciones a HTTPS por su cuenta (ayuda de Chrome). Así que esta prueba puede salir bien aunque falte la redirección. El análisis gratis la revisa en el servidor.
Qué pedir: una redirección 301 de todo HTTP a HTTPS, que la guía de Google recomienda para que buscadores y navegadores entiendan cuál es la versión principal. Después se puede activar HSTS, una instrucción que le dice al navegador que use siempre HTTPS con tu sitio, pero solo cuando el certificado ya funciona bien en todo el sitio (web.dev).
5. Google marcó tu sitio como peligroso
La pantalla roja aparece cuando la Navegación segura de Google detecta malware, phishing o software no deseado (ayuda de Chrome). Según Google, muchos de los sitios que marca son webs legítimas que fueron hackeadas (Informe de transparencia), y Mozilla advierte que puede pasar sin que el dueño note ningún cambio (Mozilla).
Una web hackeada puede tener su certificado vigente. Lee qué hacer si hackearon tu página web antes de tocar archivos.
Un problema parecido: contenido mixto
Es una página que se abre por HTTPS pero carga algunas piezas por HTTP, como una imagen o el código de un formulario. Según MDN, la documentación técnica de Mozilla, los navegadores actuales intentan cargar por HTTPS las imágenes, el audio y el video, y bloquean el resto, que son las piezas de código, como el chat o el formulario (MDN).
Resultado: desaparece una imagen, el formulario no envía o el chat no carga. Pasa mucho después de cambiar a HTTPS, cuando quedan direcciones antiguas en las páginas o en la base de datos. Pídele a tu desarrollador que las cambie a https:// con un script y no a mano, como recomienda la guía de Google (web.dev).
¿Qué es un certificado SSL y para qué sirve?
Un certificado SSL, que hoy en rigor se llama TLS, es un archivo instalado en el servidor que prueba que la web es de ese dominio y permite cifrar lo que viaja entre la web y quien la visita. Según la ayuda de Chrome, el navegador autentica y protege las conexiones HTTPS con certificados (ayuda de Chrome).
Sirve para que nadie en el camino, por ejemplo en un wifi público, lea o cambie lo que tu cliente escribe en tu formulario.
¿Cómo saber si mi web tiene SSL?
Abre tu web y mira la dirección. Si empieza con https:// y el navegador no muestra ningún aviso, tienes certificado y funciona. Para ver los detalles, haz clic en el ícono a la izquierda de la dirección: ahí aparece quién emitió el certificado y hasta cuándo es válido.
La prueba completa toma cinco minutos:
- Entra con
https://tudominio.cly conhttps://www.tudominio.cl. - Entra con
http://tudominio.cly fíjate si cambia ahttps://, con la salvedad de la causa 4. - Repite todo desde el celular, con datos móviles.
- Abre las páginas donde tus clientes escriben datos, como la de contacto o la de pago.
¿Por qué hoy el certificado suele ser gratis, y cuándo se paga uno?
Porque Let's Encrypt, una autoridad de certificación, entrega certificados sin costo, y muchos hostings lo usan: en cPanel es el proveedor por defecto de AutoSSL y viene incluido con la licencia (cPanel). Algunos hostings cobran una pequeña tarifa por administrarlo (Let's Encrypt).
Esos certificados son de validación de dominio (DV): prueban que controlas el dominio, no quién es tu empresa. Let's Encrypt no emite certificados de organización (OV) ni de validación extendida (EV). Un EV exige verificar la identidad legal de la empresa, y Firefox muestra ese nombre en el panel de la conexión (Mozilla).
Nuestra recomendación: para la web de una pyme, tienda incluida, basta un certificado gratuito bien instalado. Pagar uno tiene sentido si te lo exige un banco, un cliente corporativo o una norma de tu rubro.
Lo que no se negocia es la renovación automática. Los certificados de Let's Encrypt duran 90 días por defecto, y la autoridad anunció que bajarán a 64 en febrero de 2027 y a 45 en febrero de 2028 (Let's Encrypt). Si prefieres que alguien lo vigile por ti, la mantención de webs de LAURA cuesta desde $49.000 al mes + IVA.
¿Cómo saber si mi web tiene virus?
Con dos herramientas gratuitas de Google. En el informe «Problemas de seguridad» de Search Console, Google avisa si encontró contenido pirateado, malware o páginas hechas para engañar (Search Console). En el estado del sitio en Navegación segura escribes tu dominio, sin crear cuenta, y ves si Google lo considera peligroso. Si aparece algo, sigue la guía de página web hackeada.
¿Qué ven mis clientes cuando la web dice «No seguro»?
Ven a su propio navegador diciéndoles que no confíen. Chrome les pide «No introduzcas información personal en esta página» (Chrome). Apple les dice que nunca ingresen su contraseña ni el número de su tarjeta (Safari). Mozilla, que no envíen información sensible si ven el escudo con la línea roja (Firefox).
No tenemos una cifra seria de cuántas ventas se pierden por esto. Pero piensa en el recorrido: tu cliente llega desde un anuncio o desde Instagram, va a dejar su teléfono en el formulario o a pagar, y el navegador le dice que no lo haga. En Chrome, además, puede toparse con la advertencia antes de ver tu web.
