---
title: "Tu web dice «no es seguro»: qué significa y cómo se arregla"
description: "El navegador avisa de que tu web no es segura y pierdes clientes antes de que lean nada. Qué significa ese aviso, por qué sale y cómo se arregla de verdad."
date: "2026-10-24"
category: "Seguridad web"
keywords: "web no es seguro, certificado SSL, certificado caducado, web sin https, arreglar aviso de seguridad"
portada: "/portadas/portada-web-dice-no-es-seguro-certificado-ssl.webp"
---

Tu web funciona. Abres el enlace, se ve bien, las fotos cargan. Pero en la barra del navegador, delante de tu dirección, hay un aviso que dice «No es seguro». Y tú, que no eres informático, piensas: «bueno, será una cosa del navegador». No lo es. Es una de las pocas cosas de una web que se pueden arreglar en una tarde y que, mientras está rota, te cuesta clientes todos los días.

Este artículo va de qué significa exactamente ese mensaje, por qué aparece y qué se hace para quitarlo. Sin tecnicismos innecesarios.

## Qué es el candado y qué significa que no esté

Cuando entras en una web y ves un candado pequeño antes de la dirección, significa que la conexión entre el navegador del cliente y el servidor donde vive tu web va cifrada. Ese cifrado lo da un certificado SSL (hoy se llama TLS, pero todo el mundo sigue diciendo SSL).

Piensa en una carta normal y una carta con sello y firma: las dos llegan, pero la segunda nadie puede abrirla por el camino ni cambiar lo que dice. El candado es eso. Tu cliente escribe su nombre y su teléfono en un formulario, o paga una reserva, y sin candado esos datos viajan a la vista de cualquiera que sepa mirar.

Sin candado no hay cifrado. Y sin cifrado, navegadores como Chrome, Edge o Safari no se limitan a esconder el candado: muestran un aviso. En algunos casos, antes de dejarte entrar.

## Los cuatro avisos que puedes ver (y qué significa cada uno)

No todos los mensajes son el mismo problema, y la solución cambia según cuál sea:

- **«No es seguro» con un triángulo o un círculo con una i.** La web va por `http://` en lugar de `https://`, o no tiene certificado. Es el caso más común en webs antiguas.
- **«La conexión no es privada» con código `NET::ERR_CERT_DATE_INVALID`.** El certificado existe pero ha caducado. Alguien lo instaló y nadie lo renovó.
- **`NET::ERR_CERT_COMMON_NAME_INVALID`.** El certificado es válido, pero está emitido para otro dominio. Típico cuando cambiaste de nombre de dominio, o cuando el hosting reutiliza el certificado de otra web.
- **«No es seguro» que aparece solo en algunas páginas.** Suele ser contenido mixto: la página va por `https` pero una imagen, un vídeo o un script se cargan por `http`.

Los dos primeros son los que más se ven en negocios pequeños, y los dos tienen arreglo rápido.

## Por qué pasa: las causas habituales

Casi nunca es «un virus». Casi siempre es mantenimiento:

1. **El certificado caducó.** Los certificados gratuitos duran 90 días y se renuevan solos si alguien lo configuró bien. Si no, caducan un martes cualquiera y nadie se entera hasta que un cliente llama diciendo que la web da error.
2. **Cambiaste de hosting o de servidor** y el certificado no se reinstaló en el nuevo.
3. **Cambiaste de dominio** (por ejemplo, de `minegocio.es` a `minegocio.com`) y no se emitió un certificado para el nuevo.
4. **La web es una copia** de otra, o se migró a medias, y quedaron enlaces internos apuntando a `http`.
5. **El certificado lo puso un proveedor** que ya no te lo renueva porque cambiaste de plan.

## Qué te cuesta tenerlo así

Tres costes, y ninguno es teórico:

- **Pierdes el clic.** Cuando alguien ve un aviso de seguridad antes de entrar, la mayoría cierra. No es que desconfíe un poco: se va. Y el siguiente resultado de Google está a un dedo.
- **Pierdes posiciones.** Google confirmó en 2014 que HTTPS es una señal de posicionamiento. Es una señal pequeña frente al contenido, pero se suma a todo lo demás, y va en la misma dirección que la experiencia de usuario.
- **Pierdes tranquilidad legal.** Si tu formulario de contacto o tu tienda recogen datos personales sin cifrar, es difícil justificar ante el RGPD que has puesto «medidas de seguridad adecuadas». Y si además cobras, la cosa se pone seria.

Hay un cuarto coste, el peor: te acostumbras. La web lleva meses con el aviso, tú ya no lo ves porque entras por dentro del panel, y cada semana entra menos gente.

## Cómo comprobarlo en un minuto

No necesitas herramientas raras:

1. Abre tu web **en el móvil, con datos y sin wifi**, y mira la barra de direcciones. Si no ves candado, ahí está el problema.
2. Entra en la página de contacto y en el formulario. Es donde el aviso se vuelve más visible.
3. Si quieres el detalle técnico, `ssllabs.com/ssltest` analiza tu dominio gratis y te dice si el certificado es válido, de quién es y cuándo caduca.
4. En el ordenador, pulsa F12 en la página y mira la pestaña de consola: si aparecen líneas con `Mixed Content`, tienes contenido mixto.

## Cómo se arregla, según el caso

- **No hay certificado:** se instala uno. Hoy existe Let's Encrypt, que es gratuito y renovable automáticamente, y plataformas como Vercel o Netlify lo ponen solas al conectar el dominio. Si tu hosting te cobra 80 o 100 € al año por «el certificado», el problema no es el precio: es que nadie se está ocupando de que siga vivo.
- **Está caducado:** se renueva y, sobre todo, se activa la renovación automática para que no vuelva a pasar. Si tu certificado caduca cada año, apunta la fecha en el calendario.
- **Es de otro dominio:** se emite uno nuevo para el dominio correcto y se redirige el antiguo con una redirección 301, para no perder lo que ya tenías posicionado.
- **Contenido mixto:** se cambian las rutas `http://` por `https://` en imágenes y scripts, y se fuerza la redirección de todo el sitio a `https` con HSTS, para que el navegador no vuelva a intentarlo por la puerta sin candado.

En tiempo real, entre diez minutos y una tarde. No hace falta rehacer la web. Y si te dicen que hay que rehacerla «porque el certificado no se puede poner», cambia de proveedor antes que de web.

## Cómo evitar que vuelva a pasar

El candado no es algo que se pone una vez y se olvida. Tres costumbres bastan:

- **Renovación automática**, no manual. Si alguien de tu empresa tiene que acordarse, un día se olvidará.
- **Una alerta** quince días antes del vencimiento, en el correo de quien lleve la web.
- **Revisar el candado** cada vez que cambies de hosting, de dominio o de quien te lleva la web. Son los tres momentos en los que se rompe.

Y si tu web va lenta o no sabes si está haciendo su trabajo, esos son los otros dos frentes: la velocidad y las señales de que algo no funciona se pueden medir. Puedes empezar por [por qué la velocidad de tu web importa](/blog/por-que-la-velocidad-de-tu-web-importa) y por [cómo saber si tu web funciona](/blog/como-saber-si-mi-web-funciona).

## Si no quieres pelearte con esto

Lo normal es que el aviso lo vea un cliente antes que tú. Y cuando lo ves, ya llevas semanas perdiendo visitas.

Si tu web tiene años, la hizo alguien que ya no está y no sabes ni dónde está alojada, lo más rápido es que alguien la mire: certificado, velocidad, formularios, y qué pasa cuando alguien entra desde el móvil. Eso es lo que hacemos antes de proponer nada. Si quieres, [pide una revisión gratuita de tu web](/solicita-web) y te decimos qué falla y qué no, sin compromiso y sin intentar venderte una web nueva si no la necesitas.