¿Necesitas un certificado SSL, y cuánto debería costar? (Casi siempre nada)
Sí, necesitas uno — en 2026 los navegadores marcan los sitios sin HTTPS como “No seguro”, Google los rankea más abajo, y los protocolos rápidos HTTP/2 y HTTP/3 lo requieren — pero la respuesta honesta de cuánto debería costar es, para la mayoría de los sitios, nada. Un certificado de Validación de Dominio gratuito de Let’s Encrypt te da exactamente la misma encriptación que un certificado de $500, y Google no da ventaja de ranking a los certificados pagos, así que un hosting que cobra por SSL básico como complemento pago está sobrecobrando por algo que debería estar incluido y ser automático. Los tres niveles —DV (gratis), OV ($20–250/año) y EV ($100–400/año)— difieren solo en lo que la Autoridad de Certificación verifica sobre ti, no en la fuerza de la encriptación, y como los navegadores quitaron la “barra verde” de EV en 2019, incluso un certificado EV caro ahora se ve idéntico a uno gratuito para tus visitantes: el mismo candado, sin diferencia visible. Así que la razón histórica para pagar en gran medida desapareció. Lo que de verdad importa no es qué certificado compras sino que auto-renueve de forma confiable y se monitoree, porque el modo de fallo real es la caducidad silenciosa — y con las vidas de los certificados encogiéndose hacia 47 días para 2029, la renovación manual se vuelve insostenible y la automatización es obligatoria. Dos mitos vale matar en el camino: HTTPS vuelve tu sitio más rápido, no más lento, porque desbloquea protocolos modernos; y el candado prueba que tu conexión es privada, no que el sitio es seguro, ya que los sitios de phishing también usan HTTPS. En los sitios estáticos que construimos, HTTPS es gratis, auto-renovable e incluido — solo pagarías por OV o EV si una regla genuina de cumplimiento o compras lo pidiera, y te diremos cuándo no.
Qué hace de verdad HTTPS, y por qué es innegociable
Un certificado SSL es lo que convierte http:// en https:// y encripta la conexión entre el navegador de un visitante y tu servidor, para que cualquiera que intercepte el tráfico vea galimatías revuelto en vez de contraseñas, números de tarjeta o detalles personales (My-SSL, 2026). El certificado también le permite al navegador confirmar que el titular controla el dominio — la base de confianza que provee HTTPS. (“SSL” es en realidad una costumbre; el protocolo real ha sido TLS por años.)
Dejó de ser opcional hace tiempo. Sin un certificado válido, Chrome muestra una advertencia de “No seguro” que activamente desanima a los visitantes de proceder, Google usa HTTPS como factor de ranking, y los protocolos web más rápidos —HTTP/2 y HTTP/3— simplemente lo requieren (FreeGetStats, 2026). Hay una dimensión legal también: regulaciones como el RGPD, PCI DSS y HIPAA exigen transmisión encriptada, así que si tu sitio recoge cualquier dato personal —incluso una dirección de correo en un formulario de contacto— el SSL no únicamente se recomienda, a menudo se requiere (FreeGetStats, 2026). Esta es la pieza de seguridad-y-confianza del cuadro completo que traza nuestro pilar sobre cuánto cuesta de verdad una página web.
Gratis contra pago: la encriptación es idéntica
Aquí está el hecho que las páginas de venta trabajan duro para oscurecer. Un certificado de Validación de Dominio gratuito de Let’s Encrypt usa la misma fuerza criptográfica que un certificado pago que cuesta cientos de dólares — la encriptación es idéntica, y los navegadores y motores de búsqueda tratan todos los certificados confiables por igual (Evolve, 2026). Let’s Encrypt, operado por el sin fines de lucro Internet Security Research Group, ya asegura más de 300 millones de sitios, y Google ha confirmado repetidamente que HTTPS es una señal de ranking sin importar a qué Autoridad de Certificación le pagas (BeoHosting, 2026).
¿Entonces qué compra el dinero? No seguridad. Los certificados pagos cobran por un nivel de validación más alto, una garantía financiera en caso de brecha, soporte del proveedor, periodos de emisión más largos y marca — pagas por lo que la CA verifica sobre ti y por soporte, no por encriptación más fuerte (Certimon, 2026). La consecuencia práctica es directa: para un blog, portafolio, sitio informativo o pequeña empresa que no procesa pagos, el DV gratuito hace todo lo que necesitas, y un hosting que factura el SSL básico como complemento pago está desagregando un esencial de la misma forma que desagrega los backups y la protección DDoS.
DV, OV, EV — y la barra verde que ya no está
Cuando un certificado pago de verdad tiene sentido, es sobre validación, no encriptación. Los tres niveles difieren solo en lo que la Autoridad de Certificación revisa antes de emitir.
| Nivel | Qué verifica la CA | Tiempo | Costo/año |
|---|---|---|---|
| DV (Dominio) | Que controlas el dominio | Minutos | Gratis (Let’s Encrypt) |
| OV (Organización) | Que tu organización existe legalmente | 1–3 días | ~$20–250 |
| EV (Extendida) | Revisión legal y operativa completa | 1–5 días | ~$100–400 |
La mayoría de los sitios andan bien con DV, porque la encriptación es la misma entre los tres y la diferencia es solo la verificación de identidad (My-SSL, 2026). La advertencia pivotal de 2026 es lo que le pasó al pago visible: los navegadores quitaron la “barra verde” de EV que antes mostraba un nombre de empresa verificado en la barra de direcciones —Chrome en septiembre de 2019, Firefox poco después— así que hoy DV, OV y EV se ven idénticos para los visitantes, el mismo candado sin verde y sin nombre de organización a la vista (thatmy, 2026). La famosa razón por la que los bancos pagaban por EV simplemente ya no es visible para la gente que se suponía tranquilizaría. OV y EV aún tienen usos estrechos —donde los metadatos verificados del certificado cargan significado de cumplimiento o compras— pero como señal de confianza para los visitantes generales, pagar por ellos compra un candado que se ve exactamente como el gratuito.
Lo que de verdad importa: la renovación, no el certificado
Si hay un lugar donde gastar tu atención, no es la compra — es la caducidad. Gratis o pago, cada certificado expira, y un certificado vencido causa el mismo daño sin importar lo que pagaste: advertencias del navegador, integraciones rotas e ingresos perdidos (Certimon, 2026). Peor, el fallo es silencioso. La auto-renovación maneja la mayoría de los casos, pero puede romperse en silencio cuando el DNS cambia, los puertos se bloquean, una configuración se desvía, o un trabajo de renovación deja de correr tras una migración de servidor — y nadie lo nota hasta que el sitio lanza una advertencia de seguridad (thatmy, 2026).
Esto se vuelve más apremiante, no menos. El CA/Browser Forum aprobó vidas de certificado más cortas —un máximo de 200 días desde marzo de 2026, bajando hacia un máximo de 47 días para 2029— lo que vuelve la renovación a mano genuinamente insostenible y pasa la automatización de opcional a obligatoria (My-SSL, 2026). El modelo de auto-renovación de 90 días de Let’s Encrypt ya está construido para este mundo, que es parte de por qué es el default sensato. Las conclusiones prácticas son automatizar la renovación, habilitar HSTS para que los navegadores siempre usen HTTPS, y monitorear la caducidad de forma independiente — sobre todo porque Let’s Encrypt dejó de enviar correos recordatorios de expiración a mediados de 2025, quitando una red de seguridad de la que muchos equipos dependían (Certimon, 2026).
Dos mitos que vale matar
Dos creencias sobre HTTPS persisten mucho después de su fecha de caducidad. La primera es que el SSL ralentiza tu sitio. Es lo contrario: el TLS 1.3 moderno añade un solo viaje de ida y vuelta insignificante, y tener HTTPS desbloquea HTTP/2 y HTTP/3, que son marcadamente más rápidos que el HTTP/1.1 en el que quedan atascados los sitios no seguros — así que un sitio HTTPS bien configurado es más rápido que el mismo sitio en HTTP plano, un punto que conecta directo con el trabajo de rendimiento alrededor del cual se construye todo aquí (FreeGetStats, 2026).
El segundo mito, más peligroso, es que un candado significa que un sitio es seguro. HTTPS prueba que la conexión es privada, no que el sitio es confiable — los certificados DV son gratis para cualquier dominio, así que los sitios de phishing y malware usan HTTPS de forma rutinaria, y el FBI ha advertido sobre exactamente esto desde 2018 (thatmy, 2026). HTTPS encripta el tráfico hacia y desde tu servidor; no dice nada sobre lo que corre en el servidor, así que un sitio con un certificado perfecto y un plugin sin parchear sigue siendo un sitio comprometido. La encriptación y la seguridad son preocupaciones separadas, y necesitas ambas.
Por qué lo incluimos — y cuándo pagar por más
Dicho con claridad: en los sitios estáticos que construimos, HTTPS es gratis, auto-renovable e incluido, no una línea de factura. Como un certificado gratuito de Let’s Encrypt provee encriptación idéntica y ninguna desventaja de SEO, y como nuestros sitios se sirven a través de infraestructura donde la emisión y la renovación de 90 días están automatizadas, el candado es simplemente parte de un sitio bien alojado — de la misma forma que el hosting confiable, los backups y la protección DDoS vienen con el cimiento en vez de venderse de vuelta como extras. Cobrarle a una pequeña empresa por SSL básico es, en nuestra opinión, cobrar por algo que nunca debió ser opcional.
La puerta honesta es sobre cuándo pagar por más, y la respuesta es estrecha. Subirías a un certificado OV o EV solo cuando un requisito genuino lo pide —un proceso de compras que exige identidad de organización verificada en el certificado, una política de cumplimiento, o un contrato B2B— no por una señal de confianza para los visitantes generales, que la barra verde muerta ya no provee. Si corres pagos a gran escala o un servicio financiero regulado, esa conversación vale tenerla; corto de eso, te diremos que un certificado DV gratuito es exactamente lo correcto, porque lo es.
El candado debería ser gratis, automático e incluido
El SSL es el ejemplo pequeño más claro del tema que recorre toda esta biblioteca: un esencial que el mercado aprendió a desagregar y a vender como upgrade, cuando hacerlo bien significa incluirlo y automatizarlo una vez. La encriptación es gratis, la renovación debería ser automática, y el único riesgo real —la caducidad silenciosa— es un problema de monitoreo, no de compra. Paga por validación solo donde una regla específica lo requiera, y trata cualquier cargo de “complemento SSL” como una señal sobre cómo está cotizado el resto de tu hosting.
Acierta eso y HTTPS deja de ser una preocupación recurrente o una tarifa sorpresa y se vuelve lo que debería ser: una propiedad invisible y automática de un sitio bien construido y bien alojado. Es la misma lógica de “hacerlo bien una vez” detrás de nuestras guías de costo de hosting y protección DDoS, y detrás de todo el enfoque que traza nuestro pilar sobre cuánto cuesta una página web — donde la versión más barata de un esencial es la que viene integrada, no cobrada mensualmente.
Frequently asked
- ¿Necesito un certificado SSL?
- Sí — en 2026 es efectivamente obligatorio para cualquier sitio web serio. Sin uno, los navegadores muestran una advertencia de 'No seguro' junto a tu dirección, Google rankea los sitios HTTP más abajo porque HTTPS es una señal de ranking, y los visitantes desconfían del sitio. Encima de eso, los protocolos web más rápidos (HTTP/2 y HTTP/3) requieren HTTPS, y regulaciones de privacidad como el RGPD, PCI DSS y HIPAA exigen transmisión encriptada si tu sitio recoge cualquier dato personal — incluso solo una dirección de correo por un formulario de contacto. La pregunta no es si necesitas SSL; es de qué tipo, y la respuesta para la mayoría de los sitios es el gratuito.
- ¿Cuánto debería costar un certificado SSL?
- Para la mayoría de los sitios, nada. Un certificado de Validación de Dominio gratuito de Let's Encrypt provee exactamente la misma encriptación que un certificado que cuesta cientos de dólares, y Google no da ventaja de ranking a los certificados pagos sobre los gratuitos. Solo pagas cuando necesitas específicamente una validación más alta (los certificados OV corren más o menos $20–250 al año, los EV $100–400), una garantía, soporte del proveedor, o cobertura wildcard. Si un hosting te cobra por un certificado SSL básico como complemento pago, es una señal de que está desagregando algo que debería estar incluido y ser automático — el mismo patrón que vuelve los backups y la protección DDoS líneas sorpresa.
- ¿Cuál es la diferencia entre certificados SSL gratuitos y pagos?
- No la encriptación — esa es idéntica. Un certificado DV gratuito de Let's Encrypt usa la misma fuerza criptográfica que un certificado EV de $500, y los navegadores y motores de búsqueda tratan todos los certificados confiables por igual. Lo que pagas con un certificado pago es un nivel de validación más alto (la CA verificando que tu organización existe, no únicamente que controlas el dominio), una garantía financiera, soporte del proveedor, periodos de emisión más largos, y marca. Para un sitio personal, blog, portafolio o pequeña empresa que no procesa pagos, un certificado DV gratuito hace todo lo que necesitas.
- ¿Qué son los certificados DV, OV y EV?
- Son tres niveles de validación que difieren solo en lo que la Autoridad de Certificación verifica sobre ti. DV (Validación de Dominio) confirma que controlas el dominio — automatizado, emitido en minutos, gratis vía Let's Encrypt. OV (Validación de Organización) además verifica que tu organización existe legalmente, toma de uno a tres días, y cuesta cerca de $20–250 al año. EV (Validación Extendida) implica una revisión legal y operativa completa por $100–400 al año. Crucialmente, los navegadores quitaron la 'barra verde' de EV con el nombre de la organización allá en 2019, así que en 2026 DV, OV y EV se ven idénticos para tus visitantes — el mismo candado, sin diferencia visible.
- ¿Un certificado SSL ralentiza mi sitio web?
- No — lo acelera. Este es un error común que sobra de los primeros días de HTTPS. El TLS 1.3 moderno añade una latencia insignificante (un solo viaje de ida y vuelta extra en el handshake), y tener HTTPS desbloquea los protocolos HTTP/2 y HTTP/3, que son mucho más rápidos que el viejo HTTP/1.1 en el que quedan atascados los sitios no seguros. La ganancia de rendimiento de esos protocolos modernos supera por mucho la diminuta sobrecarga de encriptación, así que un sitio HTTPS bien configurado es más rápido que el mismo sitio en HTTP plano, no más lento.