Redirección HTTP a HTTPS mal configurada: causas y cómo corregirla

Una redirección HTTP a HTTPS mal configurada puede generar bucles infinitos, errores ERR_TOO_MANY_REDIRECTS o advertencias de contenido mixto que dañan tanto la experiencia del usuario como el posicionamiento en Google. La buena noticia: casi siempre la causa es una de tres cosas y tiene solución en minutos.

En esta guía verás los errores más frecuentes al forzar HTTPS en hosting compartido y los pasos exactos para corregir cada uno, ya uses cPanel, WordPress o .htaccess directo.

¿Qué significa "forzar HTTPS" y por qué falla?

Forzar HTTPS consiste en redirigir automáticamente cualquier petición que llegue por HTTP (puerto 80) hacia su equivalente seguro HTTPS (puerto 443). El objetivo es que nadie acceda a tu sitio por la versión sin cifrar.

En teoría es simple: una línea en .htaccess o un ajuste en el panel. En la práctica falla cuando:

• El certificado SSL no está correctamente instalado o ha expirado.
• La redirección se configura en dos lugares que se contradicen (cPanel + WordPress + .htaccess).
• El proxy o CDN (como Cloudflare) ya aplica la redirección y el servidor la vuelve a aplicar, creando un bucle.
• La URL del sitio en WordPress sigue apuntando a http:// en la base de datos.
• Recursos embebidos (imágenes, scripts, hojas de estilo) todavía se cargan por HTTP: contenido mixto.

Error 1: bucle de redirección (ERR_TOO_MANY_REDIRECTS)

Este es el error más reportado. El navegador recibe una respuesta 301 o 302 que lo manda de HTTP a HTTPS… y luego otra respuesta que lo manda de HTTPS a HTTP otra vez, en un ciclo sin fin.

Causa A: conflicto entre Cloudflare y el servidor

Si usas Cloudflare con el modo SSL en Flexible, Cloudflare habla HTTPS con el visitante pero HTTP con tu servidor. Si tu servidor también redirige HTTP → HTTPS, se forma el bucle.

Corrección: en el panel de Cloudflare, cambia el modo SSL de Flexible a Full (o Full (strict) si tienes certificado válido en el servidor). Con Full, Cloudflare ya habla HTTPS con tu servidor y la redirección en .htaccess deja de causar conflicto.

Causa B: redirección duplicada (cPanel + .htaccess)

Si habilitaste "Forzar HTTPS" en cPanel y también tienes reglas de redirección en .htaccess, ambas se ejecutan. Deja solo una:

• Si prefieres cPanel: elimina las reglas de redirección manuales de .htaccess.
• Si prefieres .htaccess: desactiva "Forzar HTTPS" en cPanel → Dominios → Forzar HTTPS.

Error 2: certificado SSL inválido o no instalado

Sin certificado válido, cualquier redirección a HTTPS mostrará un aviso de seguridad en el navegador y muchos usuarios abandonarán el sitio.

Verifica el estado del certificado:

1. En cPanel ve a Seguridad → SSL/TLS.
2. Comprueba que el dominio tiene un certificado instalado y que la fecha de expiración es futura.
3. Si no hay certificado, instala uno gratuito de Let's Encrypt desde SSL/TLS → Let's Encrypt™ SSL (disponible en la mayoría de hostings compartidos).

Si el certificado acaba de instalarse, espera 10-15 minutos para que se propague antes de activar la redirección.

Error 3: URL del sitio en WordPress apunta a HTTP

WordPress guarda la URL del sitio en la base de datos. Si instalaste el CMS cuando el sitio era HTTP y luego añadiste SSL, la URL raíz sigue siendo http://tudominio.com y el CMS seguirá sirviendo recursos por HTTP aunque la redirección esté activa.

Corrección desde el panel de WordPress

1. Accede a Ajustes → Generales.
2. Cambia Dirección de WordPress y Dirección del sitio a https://tudominio.com.
3. Guarda y cierra sesión (el panel te pedirá que vuelvas a iniciarla).

Corrección desde wp-config.php (cuando no puedes acceder al panel)

Añade estas dos líneas antes de la línea /* That's all, stop editing! */:

define('WP_HOME', 'https://tudominio.com');
define('WP_SITEURL', 'https://tudominio.com');

Esto fuerza la URL incluso si la base de datos sigue con el valor antiguo.

Error 4: contenido mixto (Mixed Content)

El sitio carga por HTTPS pero el navegador muestra un candado roto o advertencias. Significa que hay recursos (imágenes, scripts, CSS) que se siguen cargando por http://.

Pasos para resolverlo:

1. Abre las herramientas de desarrollo del navegador (F12) → pestaña Console. Los recursos mixtos aparecen como advertencias.
2. En WordPress, instala el plugin Really Simple SSL o Better Search Replace para reemplazar todas las URLs http://tudominio.com por https://tudominio.com en la base de datos.
3. Para sitios sin CMS, actualiza manualmente las rutas en el código fuente o usa URLs relativas al protocolo (//tudominio.com/imagen.jpg).

Para más comparativas sobre hosting con SSL incluido y soporte técnico activo, consulta nuestra sección de comparativas de hosting.

Cómo configurar la redirección correcta en .htaccess

Si quieres gestionar la redirección manualmente, esta es la regla recomendada para Apache (la que usan la mayoría de hostings compartidos en México):

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Colócala al principio del archivo .htaccess, antes de las reglas de WordPress u otro CMS. Si ya tienes un bloque RewriteEngine On, no dupliques la directiva; añade solo las dos líneas de regla.

Qué evitar en .htaccess

• No uses R=302 (temporal) para forzar HTTPS en producción; usa siempre R=301 (permanente) para que Google transfiera el valor SEO.
• No pongas la regla dentro del bloque # BEGIN WordPress; WordPress lo sobreescribirá.
• No actives la redirección antes de confirmar que el certificado SSL está instalado.

Verificación final: checklist post-configuración

• Abre http://tudominio.com en modo incógnito y confirma que redirige a https://.
• Comprueba que la URL final muestra el candado verde (o el icono de seguridad) en la barra del navegador.
• Usa una herramienta como SSL Labs (ssllabs.com/ssltest) para validar la configuración del certificado.
• Verifica en Google Search Console que el sitemap apunta a la versión HTTPS.
• Si usas Google Analytics o un píxel de seguimiento, actualiza la URL del sitio en esas plataformas.

Contar con un equipo técnico que configure y audite estas redirecciones desde el inicio ahorra horas de diagnóstico. El equipo de elenlace.com ofrece revisión de configuración SSL y migraciones HTTP→HTTPS sin interrupciones.

Conclusiones clave

• Los bucles de redirección casi siempre vienen de un conflicto entre Cloudflare en modo Flexible y la redirección en el servidor.
• Sin certificado SSL válido instalado, activar la redirección HTTPS solo genera errores de seguridad.
• Si usas WordPress, actualiza la URL del sitio en Ajustes → Generales además de añadir la regla en .htaccess.
• El contenido mixto requiere un reemplazo de URLs en la base de datos, no solo activar HTTPS.
• Usa siempre R=301 (redirección permanente) para que Google transfiera el valor de posicionamiento.
• Verifica el resultado con SSL Labs y en Google Search Console antes de dar por cerrado el trabajo.

¿Tienes varios dominios o una tienda online en la que no puedes arriesgar tiempo de inactividad? Contacta a los especialistas de elenlace.com para una migración HTTPS sin interrupciones y sin impacto en tu SEO.

Preguntas frecuentes

¿Cuánto tiempo tarda Google en indexar el sitio con HTTPS tras la migración?

Si la redirección 301 está bien configurada, Google detecta el cambio en su siguiente rastreo, que puede ocurrir entre horas y días dependiendo de la frecuencia con que Googlebot visita tu sitio. En sitios de tráfico medio suele estabilizarse en 1-2 semanas.

¿Pierdo posicionamiento al pasar de HTTP a HTTPS?

Una migración bien ejecutada con redirecciones 301 permanentes no debería causar pérdida de posicionamiento a largo plazo. Pueden verse fluctuaciones menores durante los primeros días mientras Google re-indexa, pero la señal de clasificación se transfiere.

¿Puedo forzar HTTPS sin tocar el .htaccess desde cPanel?

Sí. En cPanel moderno ve a Dominios → Administrador de dominios, busca tu dominio y activa la opción "Forzar HTTPS". Esta opción inserta las reglas en el .htaccess automáticamente; no necesitas editarlo a mano.

¿El certificado SSL de Let's Encrypt es suficiente para una tienda online?

Para la mayoría de tiendas pequeñas y medianas, sí. Let's Encrypt emite certificados DV (validación de dominio) que cifran la conexión igual que un certificado de pago. Para entidades que necesitan mostrar validación de organización (OV) o validación extendida (EV) en la barra del navegador, se requiere un certificado comercial.

Compara proveedores

Otros proveedores y guías que vale la pena comparar:

• GoDaddy
• HostGator México
• Hostinger