Qué es un certificado SSL, cuánto cuesta y por qué ya no es opcional

Un certificado SSL es un archivo que vive en el servidor de tu sitio y hace dos cosas: cifra la conexión entre el sitio y quien lo visita, para que nadie en el medio pueda leer ni cambiar lo que viaja, y demuestra que el sitio corresponde a ese dominio. Cuando está, la dirección empieza con https y el navegador muestra el candado.

Las reglas y fechas de esta guía son las que publican el CA/Browser Forum, Let’s Encrypt y Google, consultadas el 22 de septiembre de 2026.

Los tres tipos, y cuál necesitas

• Validación de dominio (DV). Comprueba que quien lo pide controla el dominio. Es el más común y el que emiten gratis Let’s Encrypt y la mayoría de los hostings.
• Validación de organización (OV) y validación extendida (EV). Además, verifican a la empresa. Se pagan y tienen sentido para casos puntuales, como bancos o plataformas que exigen ese nivel.

Para el sitio de un negocio pequeño, el de validación de dominio cumple la función. Si alguien te vende uno más caro «para que Google confíe en ti», te está vendiendo algo que Google no pide.

Lo que cuesta

Puede no costar nada. Let’s Encrypt, una autoridad de certificación sin fines de lucro, emite certificados gratis, y los buenos proveedores de hosting los instalan y los renuevan solos. Algunos cobran una tarifa por gestionarlos. Si tu plan te cobra aparte por el certificado básico, es señal de que el resto del plan también quedó viejo → qué hosting necesita tu negocio.

Cuánto dura, y por qué la renovación tiene que ser automática

Los certificados vencen, y cada vez antes. El CA/Browser Forum, que fija las reglas que siguen las autoridades de certificación y los navegadores, aprobó un calendario para bajar la vigencia máxima:

Certificados emitidos	Vigencia máxima
Antes del 15 de marzo de 2026	398 días
Desde el 15 de marzo de 2026	200 días
Desde el 15 de marzo de 2027	100 días
Desde el 15 de marzo de 2029	47 días

Los de Let’s Encrypt ya duran 90 días, y su recomendación es renovarlos automáticamente cada 60. Con esas cifras, renovar a mano deja de ser una opción: un certificado que depende de que alguien se acuerde va a vencer. Es una de las tareas del mantenimiento de un sitio; las demás, y cada cuánto → mantenimiento de una página web.

Lo que cambia en Chrome en octubre de 2026

Desde julio de 2018, Chrome marca como «No seguro» cualquier página sin https. El paso siguiente llega ahora: con Chrome 154, en octubre de 2026, Google activa por defecto la opción usar siempre conexiones seguras. Chrome va a pedir permiso antes de abrir por primera vez un sitio público sin https.

O sea: un sitio sin certificado ya no solo se ve mal; ahora hay un aviso antes de entrar. Para un negocio que depende de que la gente llegue desde Google o desde un anuncio, es tráfico que se pierde en la puerta.

Cómo revisar el tuyo en dos minutos

1. Abre tu sitio escribiendo http:// al principio: tiene que pasarte solo a https://.
2. Prueba con www y sin www: las dos versiones tienen que abrir con candado.
3. Toca el candado y busca los datos del certificado: quién lo emitió y hasta cuándo vale.
4. Revisa que ninguna página muestre avisos por imágenes o recursos cargados sin https.

Tres errores comunes

• El certificado cubre solo una versión del dominio. Con www funciona, sin www da error, o al revés.
• La renovación automática se rompió después de cambiar el dominio de proveedor o de tocar sus registros, y nadie se enteró hasta que venció.
• Contenido mixto: la página va con https, pero una imagen o un formulario viejo se carga con http, y el navegador lo advierte o lo bloquea.

Y en Google

Google anunció en 2014 que empezaba a usar el https como señal para ordenar resultados, y lo describió como una señal muy ligera. No es lo que te va a subir en los resultados; lo que sí hace es que el navegador no espante a quien llega. Si tu sitio no aparece, la causa casi seguro es otra → por qué tu página no aparece en Google.

Los sitios que hacemos se publican con https desde el primer día y el certificado se renueva solo, sin que nadie tenga que acordarse → diseño web.

Fuentes

• Baseline Requirements, sección 6.3.2 — CA/Browser Forum: vigencia máxima de los certificados.
• Preguntas frecuentes de Let’s Encrypt — costo, tipo de validación y vigencia de 90 días.
• HTTPS by default — Google, en inglés: el cambio de Chrome 154 en octubre de 2026.
• A secure web is here to stay — Google, en inglés: el aviso «No seguro» desde Chrome 68.
• HTTPS as a ranking signal — Google Search Central, en inglés.