Por qué no basta con el certificado
Instalar el certificado habilita la conexión cifrada, pero no la impone. Sin redirección, tu sitio responde por http y por https a la vez: visitantes navegando sin cifrado, avisos de contenido no seguro y dos versiones del mismo sitio compitiendo ante los buscadores.
Método 1: la opción del panel
- Entra en Administrador de Cuenta > Configuración de Dominios.
- Haz clic sobre el dominio.
- Localiza la opción de redirección forzada a HTTPS y actívala.
- Guarda.
Es la vía más limpia porque la redirección se aplica en la configuración del servidor web, antes de que se ejecute nada de tu sitio.
Método 2: con .htaccess
Si la opción anterior no está disponible en tu plan, o necesitas afinar el comportamiento, edita el archivo .htaccess en la raíz de tu sitio. Es un archivo oculto: activa la visualización de archivos ocultos en el administrador de archivos para verlo.
RewriteEngine On RewriteCond %{HTTPS} off RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301] Si el archivo ya existe, no lo sustituyas: añade estas líneas al principio, sin borrar lo que había. Reemplazar un .htaccess completo puede romper las direcciones amigables de tu CMS.
Unificar también el www
Conviene elegir una versión canónica y redirigir la otra. Esta regla envía todo hacia el dominio sin www:
RewriteEngine On RewriteCond %{HTTP_HOST} ^www\.(.*)$ [NC] RewriteRule ^(.*)$ https://%1/$1 [L,R=301] Ajustes en WordPress
Después de forzar HTTPS, entra en Ajustes > Generales y comprueba que la dirección de WordPress y la del sitio empiezan por https. Si quedaron en http, tendrás un bucle de redirecciones o avisos de contenido mixto por imágenes y hojas de estilo cargadas sin cifrar.
Contenido mixto
Si el candado aparece pero con una advertencia, algún recurso de la página se carga por http. Suele ser una imagen con la dirección completa escrita en el contenido. Una herramienta de búsqueda y reemplazo en la base de datos que respete los datos serializados es la forma correcta de corregirlo en bloque.
Comprobación
Escribe tu dominio con http en el navegador: debe saltar a https y mostrar el candado. Prueba también con www. Hazlo en una ventana de incógnito, porque el navegador guarda las redirecciones 301 en caché de forma muy persistente.
Si el sitio deja de cargar
Un error en .htaccess produce un error 500 en todo el sitio. Guarda una copia antes de editarlo: restaurarla es la vía más rápida para volver atrás.
