Servir la página en HTTPS con un certificado válido
Descripción
Este criterio comprueba que tu página se sirve de forma segura: su dirección final empieza por https://; su certificado es válido, cubre el nombre del sitio y no caduca en los próximos 14 días; la dirección en http:// redirige a https://; el encabezado Strict-Transport-Security impone HTTPS durante al menos seis meses; ningún recurso de la página se carga en http://.
Una página sin HTTPS o con un certificado no válido obtiene el estado «Malo», sean cuales sean los demás puntos.
Por qué importa para las IA
Las IA enlazan a las páginas que citan. Si la dirección provoca una alerta de seguridad, la visita se pierde; si el contenido puede modificarse por el camino, tu texto deja de ser fiable. HTTPS cifra el intercambio entre tu servidor y quienes leen la página, tanto visitantes como rastreadores.
- Un certificado caducado, o que no cubre el nombre del sitio, hace fallar la conexión segura: el navegador muestra una alerta en lugar de la página.
- Sin HTTPS, un intermediario puede leer o modificar la página por el camino, por ejemplo para insertar anuncios.
- Los navegadores bloquean los scripts y las hojas de estilos cargados en http:// en una página en HTTPS: la página puede mostrarse incompleta.
Cómo corregirlo
- 1 Sirve la página en HTTPS Instala un certificado en tu sitio o activa la opción HTTPS de tu proveedor de alojamiento o de tu CMS. Let’s Encrypt emite certificados gratuitos, y muchos proveedores de alojamiento los obtienen y gestionan por ti. Después, actualiza los enlaces internos, la URL canónica y el mapa del sitio XML con las direcciones en https://.
- 2 Mantén un certificado válido El certificado debe emitirlo una autoridad reconocida, con su cadena completa, y debe cubrir el nombre exacto del sitio, con o sin www según la dirección que uses. Automatiza su renovación: iPand avisa de un certificado que caduca en menos de 14 días.
- 3 Redirige http:// a https:// Configura tu servidor o tu alojamiento para que toda dirección en http:// lleve, con una redirección permanente 301, a la misma dirección en https://. Así, los visitantes y los rastreadores que siguen un enlace antiguo llegan a la versión segura.
- 4 Activa HSTS Añade a las respuestas en HTTPS el encabezado Strict-Transport-Security con un max-age de al menos 15768000 segundos, es decir, seis meses; por ejemplo, max-age=31536000 para un año. El navegador pasará directamente a HTTPS en las visitas siguientes. Prueba primero con una duración corta y luego pasa a seis meses o más.
- 5 Carga todos los recursos en HTTPS Sustituye las direcciones en http:// de las imágenes, los scripts, las hojas de estilos, las fuentes y los iframes por su versión en https://, o por direcciones relativas para tus propios archivos. La consola para desarrolladores de tu navegador indica el contenido mixto que quede.
Claves
HTTPS permite que los visitantes y los rastreadores lean tu página sin alertas ni alteraciones. iPand comprueba cada día la dirección servida, el certificado, la redirección, HSTS y los recursos de la página.
