HTTPS bien hecho en cPanel: AutoSSL, redirecciones, HSTS y contenido mixto

Configurar bien HTTPS en un servidor cPanel requiere cuatro pasos: dejar que AutoSSL emita y renueve un certificado válido para cada dominio y su versión www, forzar HTTPS con una redirección permanente, añadir HSTS solo cuando todo funcione por HTTPS y eliminar el contenido mixto para que los navegadores no bloqueen partes de sus páginas. AutoSSL se encarga automáticamente de casi todo el trabajo con los certificados, pero solo puede proteger los dominios que superan la validación, así que los problemas más frecuentes son de DNS y de configuración, no del certificado en sí. Así puede revisar cada paso en sus propios sitios.

Paso 1: entienda qué hace AutoSSL (y qué no)

AutoSSL es la función de cPanel & WHM que solicita, instala y renueva certificados gratuitos validados por dominio (DV) para los dominios de su servidor. Según la documentación de cPanel:

• Let's Encrypt es el proveedor predeterminado en las instalaciones nuevas y está incluido en la licencia de cPanel. El administrador del servidor puede elegir el proveedor, o desactivar AutoSSL, en WHM dentro de Manage AutoSSL.
• Los dominios deben superar la validación de control del dominio (DCV). AutoSSL solo incluye los dominios y subdominios que demuestran que apuntan a su servidor. Si la versión www. de un dominio no supera la DCV, AutoSSL no la protege.
• Se ejecuta de forma programada. AutoSSL se ejecuta cada noche como parte del proceso de actualización de cPanel y también después de crear una cuenta nueva. Puede lanzarlo a mano desde SSL/TLS Status en cPanel ("Run AutoSSL") o desde WHM.
• Renueva antes del vencimiento. La guía de SSL de cPanel indica que AutoSSL intenta renovar los certificados de Let's Encrypt cuando les quedan 29 días o menos para vencer.
• No reemplaza certificados que no emitió, salvo que el administrador active "Allow AutoSSL to replace invalid or expiring non-AutoSSL certificates". cPanel advierte que esta opción puede sustituir un certificado OV o EV de pago por uno DV, así que actívela solo si entiende el efecto.
• Omite las cuentas suspendidas.

Los certificados durarán cada vez menos

Let's Encrypt anunció el paso de certificados de 90 días a certificados de 45 días. Según su calendario publicado, el perfil predeterminado pasará a certificados de 64 días el 10 de febrero de 2027 y a certificados de 45 días el 16 de febrero de 2028. La renovación automática con AutoSSL se ocupa de esto por usted, otra razón más para no depender de certificados instalados a mano que alguien debe acordarse de reemplazar.

Paso 2: corrija los problemas habituales de AutoSSL

Abra cPanel > SSL/TLS Status. Cada dominio muestra si está cubierto, y los que tienen errores aparecen con el estado "Has AutoSSL Problems" y el motivo. El administrador también puede leer los registros en /var/cpanel/logs/autossl/.

Las causas más comunes:

1. El dominio apunta a otro lugar. Si el DNS del dominio o de su registro www apunta a otro servidor, a una CDN o a un proveedor anterior, la DCV falla. Corrija los registros A/AAAA o, si usa un proxy como Cloudflare, asegúrese de que la solicitud de validación pueda llegar a su servidor.
2. Registros AAAA (IPv6) olvidados. Un registro IPv6 antiguo que apunta a otro servidor puede hacer fallar la validación aunque el registro IPv4 sea correcto.
3. Un registro CAA bloquea a la autoridad certificadora. cPanel indica que hay que actualizar los registros CAA existentes que no permitan Let's Encrypt.
4. Las reglas de reescritura interfieren con la validación. Reglas personalizadas en .htaccess que redirigen o bloquean todo pueden impedir que se sirva el archivo de validación. La validación usa la ruta /.well-known/, así que no la bloquee.
5. Límites de emisión. Let's Encrypt limita cuántos certificados se pueden emitir en un período, y cPanel da menos prioridad a las renovaciones que a los certificados nuevos. Si acaba de migrar muchos dominios, espere un día antes de suponer que algo está roto.

Después de corregir la causa, pulse Run AutoSSL y vuelva a revisar el estado.

Paso 3: fuerce HTTPS con una redirección permanente

Cuando cada dominio muestre un certificado válido, asegúrese de que todos los visitantes terminen en HTTPS.

Use la opción Force HTTPS Redirect

En cPanel > Domains, cada dominio tiene un interruptor Force HTTPS Redirect. Según la documentación de cPanel, solo puede activarlo si el dominio tiene un certificado SSL válido, y no está disponible para los alias. Es la opción más sencilla y evita escribir reglas a mano.

O redirija en .htaccess

Si necesita más control, una regla típica de Apache es:

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Use un solo método. Dos redirecciones que se solapan (por ejemplo, el interruptor de cPanel, más un plugin, más una regla en .htaccess) son una causa habitual de bucles de redirección, sobre todo detrás de una CDN que se conecta a su servidor por HTTP sin cifrar.

Actualice también la aplicación

Las redirecciones corrigen la barra de direcciones, pero la aplicación también debe conocer su propia dirección. En WordPress, configure Dirección de WordPress y Dirección del sitio con la versión https://. Actualice también las URL canónicas, el mapa del sitio y la propiedad en Google Search Console.

Paso 4: añada HSTS con cuidado

HTTP Strict Transport Security (HSTS) indica a los navegadores que usen siempre HTTPS con su dominio, aunque alguien escriba http:// o haga clic en un enlace antiguo. MDN explica cómo funciona:

• El encabezado solo se respeta si llega por HTTPS, y no protege la primerísima visita (la precarga resuelve eso).
• Mientras la política está activa, los usuarios no pueden saltarse los errores de certificado de su sitio.
• includeSubDomains aplica la política a todos los subdominios, por lo que cualquier subdominio sin HTTPS válido quedará inaccesible.

Una implementación segura:

1. Confirme que todos los subdominios que usa (correo, webmail, portales, entornos de prueba) tienen un certificado válido.
2. Empiece con una política corta, por ejemplo de un día: Header always set Strict-Transport-Security "max-age=86400" en el .htaccess del sitio (Apache con mod_headers).
3. Tras unas semanas sin problemas, súbala a un año (max-age=31536000) y añada includeSubDomains si todos los subdominios están listos.
4. Considere la precarga (enviar el dominio a hstspreload.org) solo cuando esté seguro. Requiere un max-age de al menos un año más includeSubDomains, y es difícil de revertir.

HSTS es potente precisamente porque cuesta revertirlo, así que trátelo como el último paso, no el primero.

Paso 5: elimine el contenido mixto

El contenido mixto aparece cuando una página HTTPS carga recursos por HTTP. Según MDN, los navegadores modernos actualizan automáticamente algunas de estas solicitudes (como imágenes simples, audio y video) y bloquean otras, entre ellas scripts, hojas de estilo, iframes, fuentes web y solicitudes fetch. Los recursos bloqueados pueden romper menús, formularios, tipografías o páginas de pago.

Para encontrarlo y corregirlo:

1. Abra la página en su navegador, pulse F12 y revise la Consola en busca de avisos de contenido mixto.
2. Sustituya los enlaces http:// escritos a mano hacia su propio dominio por https:// o por enlaces relativos. En WordPress, una búsqueda y reemplazo cuidadosa en la base de datos (después de una copia de seguridad) corrige los enlaces guardados en entradas y ajustes.
3. Cambie los scripts, fuentes e incrustaciones de terceros a sus versiones HTTPS. Si un proveedor no admite HTTPS, reemplácelo.
4. Como red de seguridad, el encabezado Content-Security-Policy: upgrade-insecure-requests pide a los navegadores que actualicen todas las solicitudes, pero MDN aclara que no sirve si la versión HTTPS del recurso no existe.

Lista rápida de verificación de HTTPS

• Cada dominio y su versión www muestran un certificado válido en SSL/TLS Status.
• No hay errores de AutoSSL, y las notificaciones de AutoSSL llegan a alguien que las lee.
• Un único método de redirección envía todo el tráfico a HTTPS con un 301.
• La aplicación, las URL canónicas y el mapa del sitio usan https://.
• No hay avisos de contenido mixto en la consola del navegador.
• HSTS se añadió de forma gradual, después de los pasos anteriores.

¿Necesita ayuda con sus certificados?

Los certificados vencidos, los bucles de redirección y los scripts bloqueados tienen solución, pero mientras duran le cuestan ventas. Core Florida IT administra servidores cPanel y sitios web empresariales para compañías en Miami-Dade y todo el sur de Florida, con soporte remoto en todo el país. Solicite una evaluación de TI gratuita y revisaremos el HTTPS de sus dominios.

Fuentes

• Documentación de cPanel & WHM: Guide to SSL
• Documentación de cPanel & WHM: Manage AutoSSL
• Documentación de cPanel: Domains (Force HTTPS Redirect)
• MDN Web Docs: Strict-Transport-Security
• MDN Web Docs: contenido mixto
• Let's Encrypt: reducción de la vigencia de los certificados a 45 días