“La conexión con este sitio no es segura”: por qué pasa en WordPress y cómo arreglarlo con Cloudflare

Si Chrome marca tu sitio como “No seguro”, es por una de tres cosas: no tiene certificado SSL, el certificado caducó o está instalado pero mal configurado. En los tres casos se arregla gratis. Si tu dominio ya está en Cloudflare, te toma unos 20 minutos.

No es un detalle técnico que puedas dejar para después. Un sitio “No seguro” pierde la confianza del visitante, puede dejar de abrir en Chrome y hace que Google Ads rechace tus anuncios. En JDigital nos llega un caso así cada mes. Aquí te contamos las causas, cuándo sí conviene pagar un certificado y el paso a paso real que seguimos para evoluzion.mx, con capturas.

Qué significa “No seguro” y cuánto te cuesta

“No seguro” significa que la conexión entre el navegador y tu sitio no está cifrada, o que el certificado que la cifra no es válido. Lo que el visitante escribe (nombre, teléfono, tarjeta) puede viajar en texto plano. Chrome lo avisa en la barra de direcciones, y cada vez con más fuerza.

Google anunció que, a partir de Chrome 154 (programado para octubre de 2026), activaría por defecto la opción “Usar siempre conexiones seguras” para todos los usuarios. Si un sitio público no tiene HTTPS, Chrome muestra una advertencia y pide al usuario que confirme antes de entrar (SecurityWeek). Ya no es un candadito en la esquina: es una pantalla que se interpone entre tu cliente y tu negocio.

Lo que hemos visto en clientes:

• Confianza: un visitante que ve la alerta se va. Para un despacho, un consultorio o una tienda, eso es un lead o una venta que no llega.
• Ventas: sitios que pierden pedidos porque sus clientes ya no pueden entrar desde Chrome.
• Google Ads: si el dominio caduca o el sitio deja de responder, Google rechaza los anuncios por “destino no funciona”. Un dominio vencido aparece explícitamente como causa en su política (Google Ads). Sigues pagando la gestión de la cuenta, pero no sale ni un anuncio.

Las 3 causas que vemos cada mes

1. Nunca se instaló el certificado. Pasa mucho con sitios nuevos: se crea el dominio en el hosting, se instala WordPress y nadie activa el SSL. Es justo lo que nos pasó con evoluzion.mx.
2. El certificado (o el dominio) caducó y nadie se dio cuenta. El hosting no renovó, la tarjeta registrada venció o el aviso llegó a un correo que nadie revisa. El cliente se entera cuando un prospecto le dice “tu página no abre”.
3. Está instalado, pero mal configurado. Hay certificado, pero WordPress sigue cargando imágenes o scripts por http:// (contenido mixto), o Cloudflare está en un modo que choca con el servidor. El resultado: “No seguro” con un certificado válido, o un sitio que no carga por demasiadas redirecciones.

Caso real: un despacho de abogados en CDMX. Se les venció el dominio y el hosting no se renovó, y con él se fue el SSL. El sitio dejó de verse y Google Ads rechazó todos sus anuncios. Para un despacho que vive de leads, eso significa días sin una sola consulta nueva. La lección: los vencimientos de dominio, hosting y SSL se revisan como parte del mantenimiento web. Nunca hay que dar por hecho que “se renuevan solos”.

¿SSL gratis o de paga? Nuestra opinión

Para la mayoría de las pymes, un certificado gratuito es suficiente. Si tu sitio genera leads (formularios, WhatsApp, llamadas) o eres un negocio local con estrategia SEO, el SSL gratis de Let’s Encrypt o de Cloudflare cifra igual de bien que uno de $99 USD.

Donde sí recomendamos invertir en un certificado de pago es en e-commerce. Ahí manejas datos de pago y direcciones de tus clientes, y un certificado con validación de organización respalda la confianza en tu marca y la seguridad de quien te compra.

El error más común que vemos es el contrario: pymes que pagaron un certificado carísimo sin que nadie les explicara qué compraron, mientras el problema real era la configuración. Cuando abrimos el panel de Plesk para evoluzion.mx, nos ofrecía certificados de $9 a $149 USD al año. No necesitábamos ninguno.

Paso a paso real: evoluzion.mx en Plesk + Cloudflare

Este es el proceso exacto que seguimos el 1 de noviembre de 2026 para evoluzion.mx, un WordPress recién instalado en Plesk con el DNS en Cloudflare. El panel marcaba “No certificate”.

1. Genera el Origin Certificate en Cloudflare

1. Entra a Cloudflare, abre tu dominio y ve a SSL/TLS → Origin Server.
2. Clic en Create Certificate. Deja las opciones por defecto: clave RSA (2048), los hostnames tudominio.com y *.tudominio.com, y validez de 15 años.
3. Copia el Origin Certificate y la Private Key a un bloc de notas. La llave privada solo se muestra una vez.

Al dar clic en Create, Cloudflare te muestra las dos cajas de texto. No le tomes captura ni la compartas: la llave privada es lo único que necesita alguien para hacerse pasar por tu servidor.

2. Súbelo a Plesk

1. En Plesk, entra al dominio y haz clic en No certificate (o en SSL/TLS Certificates).
2. Ignora los certificados de pago. Baja a More options y haz clic en Manage.
3. Clic en Add SSL/TLS Certificate, ponle un nombre (por ejemplo “Cloudflare Origin”) y baja a la sección Upload the certificate as text.
4. Pega la Private key y el Certificate completos, incluidas las líneas -----BEGIN y -----END. Clic en Upload Certificate de esa sección.

3. Asígnalo al dominio

Subir el certificado no basta: en la lista aparece con Used: 0 hasta que lo asignas.

1. Ve a Hosting & DNS → Hosting (en otras versiones, Hosting Settings).
2. En Security, activa SSL/TLS support y elige tu certificado en la lista.
3. Deja desactivada la redirección 301 de HTTP a HTTPS de Plesk. Esa redirección la hace Cloudflare.

Guarda los cambios. En la lista de certificados, Used debe cambiar de 0 a 1.

4. Activa Full (strict) y Always Use HTTPS en Cloudflare

1. En SSL/TLS → Overview, cambia el modo a Full (strict).
2. En SSL/TLS → Edge Certificates, activa Always Use HTTPS y Automatic HTTPS Rewrites.
3. En DNS, confirma que el dominio y www tengan la nube naranja (proxied).

5. Purga la caché y verifica

1. En Cloudflare: Caching → Configuration → Purge Everything.
2. Abre una ventana de incógnito nueva y entra a https://tudominio.com. Debe aparecer el candado.
3. En WordPress, revisa en Ajustes → Generales que las dos URL empiecen con https://.

Por qué elegimos el Origin Certificate y no Let’s Encrypt

Si tu dominio pasa por el proxy de Cloudflare, el Origin Certificate es la opción más estable. Las dos son gratis y cifran igual; la diferencia está en el mantenimiento.

	Origin Certificate de Cloudflare	Let’s Encrypt en el hosting
Costo	Gratis	Gratis
Vigencia	Hasta 15 años (se elige al crearlo)	90 días; bajará a 45 días para febrero de 2028
Renovación	Prácticamente ninguna	Automática, si el hosting la ejecuta bien
Con el proxy de Cloudflare	Diseñado para eso; habilita Full (strict)	Funciona, pero la validación puede chocar con redirecciones
Sin Cloudflare	El navegador lo marca como no confiable	Válido en cualquier navegador

El caso del despacho en CDMX nos dejó claro que “automático” no siempre significa “seguro que pasa”. Con un certificado que dura 15 años, eliminas el punto de falla que más vemos. A cambio, aceptas una regla: el dominio debe quedarse con la nube naranja en Cloudflare. Si un día la apagas, los visitantes verán un error de certificado.

Un detalle más: Cloudflare no avisa cuando un Origin Certificate está por vencer (Cloudflare). Anota la fecha en tu calendario de mantenimiento.

Los 2 errores que te vas a topar (y cómo salir)

Nos salieron los dos en evoluzion.mx, en ese orden.

Error 1: ERR_TOO_MANY_REDIRECTS

El sitio no carga y Chrome dice que te redirigió demasiadas veces. La causa casi siempre es Cloudflare en modo Flexible: le pide la página a tu servidor por HTTP, el servidor responde “ve a HTTPS”, y así en bucle. Cloudflare lo documenta como la causa principal de este error (Cloudflare).

Cómo salir:

1. Cambia el modo a Full (strict) en SSL/TLS → Overview.
2. Desactiva la redirección 301 a HTTPS en Plesk.
3. Si aún así no entras a WordPress, fija las URL en wp-config.php:

define('WP_HOME', 'https://tudominio.com');
define('WP_SITEURL', 'https://tudominio.com');

4. Purga la caché de Cloudflare y prueba en una ventana de incógnito nueva. El navegador guarda las redirecciones viejas.

Error 2: “No seguro” aunque el certificado es válido

Ya entras al sitio y Chrome dice que el certificado es válido, pero la barra sigue en “No seguro”. Es contenido mixto: la página carga por HTTPS, pero WordPress pide imágenes, estilos o scripts por http://.

Cómo salir:

1. En WordPress, Ajustes → Generales: las dos URL con https://.
2. En Cloudflare, activa Automatic HTTPS Rewrites y purga la caché.
3. Si persiste, abre las herramientas de desarrollador de Chrome (pestaña Console) y busca avisos de “Mixed Content”. Te dicen qué archivo se carga por HTTP.

En un WordPress nuevo, con los pasos 1 y 2 basta. No hace falta instalar plugins extra.

Revisa tu sitio en 1 minuto

• Abre tu sitio en una ventana de incógnito. ¿Aparece el candado o “No seguro”?
• Clic en el candado: ¿dice “El certificado es válido”?
• ¿Sabes cuándo vencen tu dominio, tu hosting y tu certificado? Si la respuesta es “no sé”, ese es tu riesgo.
• Si usas Cloudflare: ¿tu modo SSL está en Full (strict)? Flexible es la causa más común del bucle de redirecciones.
• Si haces campañas: entra a Google Ads y revisa que no tengas anuncios rechazados por “destino no funciona”.

¿No quieres hacerlo tú? En Evoluzion te dejamos el SSL instalado, configurado y con los vencimientos bajo control, para que tu sitio no vuelva a marcar “No seguro”.

Preguntas Frecuentes

Sobre el autor

Team JDigital. Somos una agencia de marketing digital en México desde 2015, con oficinas en Pachuca y Tijuana. Hacemos Google Ads, SEO, desarrollo WordPress y WooCommerce, y mantenimiento web para pymes. Contamos con reconocimientos de Google y HubSpot desde 2018. Este tutorial sale de un caso real que resolvimos en noviembre de 2026.

Fuentes y referencias

• Chrome activará HTTPS por defecto para sitios públicos, SecurityWeek.
• Destino no funciona, Políticas de Google Ads.
• Modos de cifrado SSL/TLS, documentación de Cloudflare.
• ERR_TOO_MANY_REDIRECTS, documentación de Cloudflare.
• Origin CA certificates, documentación de Cloudflare.
• Vigencia de los certificados y planes, Let’s Encrypt.
• HTTPS como señal de ranking, Google Search Central (2014).
• Datos propios de JDigital: instalación de SSL en evoluzion.mx (Plesk + Cloudflare), 1 de noviembre de 2026; capturas del panel propias. Keyword research de OpenSEO/DataForSEO, México, español, noviembre de 2026.