El aviso «No es seguro»: la parte de la seguridad que tus clientes sí ven
Hay un cartel que espanta clientes mejor que una persiana bajada: las palabras «No es seguro» junto a la dirección de tu web. Lo pone el navegador, no tú. Aparece exactamente donde tu cliente lee tu nombre. Y nadie te avisa de que está ahí: la gente simplemente no rellena el formulario, no deja su teléfono, no compra — y se va a una web que sí enseña el candado.
No es un susto de laboratorio: de las webs que hemos inspeccionado con el Website Health Standard™, seis de cada diez suspenden en Seguridad — el peor dato de los ocho factores que medimos. Y aquí viene la parte buena: casi nunca es un hackeo ni un problema caro. Son ajustes que faltan. Esta guía explica qué está viendo tu cliente, qué no ve pero le protege, y cómo se arregla — con un caso real medido antes y después.
¿Qué está viendo exactamente tu cliente?
Cada vez que alguien entra en tu web, su navegador hace una comprobación silenciosa: ¿esta conexión va cifrada, sí o no? Si va cifrada, lo resume en un candado discreto. Si no, lo anuncia en la barra de direcciones: «No es seguro». No es una opinión ni una multa de Google — es una descripción literal: lo que tu cliente escriba en esa página (su nombre, su teléfono, su tarjeta) puede viajar en abierto.
Y aquí está la trampa que más veces encontramos: muchas webs tienen su certificado bien instalado y aun así enseñan el cartel. ¿Cómo es posible? Porque la versión segura existe, pero la antigua sigue abierta: si alguien llega escribiendo la dirección a secas, o desde un enlace viejo, nadie le redirige a la versión cifrada. Es tener la puerta blindada instalada — y la puerta de al lado abierta de par en par. Nuestro Standard lo considera tan grave que, mientras siga así, limita la nota global de la web: da igual lo bonita que sea la tienda si la puerta no cierra.
Las tres señales que espantan a un cliente
Estas son las tres formas en que la seguridad descuidada se hace visible — de más frecuente a más dramática:
La seguridad que tu cliente no ve — pero le protege
Quitar el cartel es la mitad del trabajo. La otra mitad no se ve a simple vista: son las cabeceras de seguridad, unas instrucciones que tu web le da al navegador en cada visita. Una le dice «con esta web, usa siempre la conexión cifrada, sin excepciones» — así ni el enlace más viejo abre la puerta antigua. Otra le prohíbe interpretar archivos como lo que no son. Una tercera impide que otra web meta la tuya dentro de un marco invisible para disfrazarla y engañar a tus clientes con tu propia cara.
Seamos honestos: ningún cliente te va a pedir las cabeceras, y ponerlas no cambia nada de lo que se ve en pantalla. Pero tres de las cuatro comprobaciones de Seguridad de nuestro Standard miran exactamente esto, y la inmensa mayoría de las webs que inspeccionamos no tienen ninguna de las tres. No es dejadez de los dueños — es que nadie se lo había contado. La diferencia entre una web al 58 (la media que medimos) y una al 100 suele ser esto: minutos de configuración, no meses de obra.
Un caso real: de 60 a 100 en una mañana
En julio de 2026 inspeccionamos vdlindensloop.nl, la web de una empresa de retirada de suelos de Róterdam (caso publicado con permiso de su dueño). Su nota de Seguridad: 60. No había hackeo ni drama — faltaba forzar la conexión cifrada en todo el sitio y no tenía ninguna cabecera de protección. Exactamente el patrón de esta guía.
En una mañana de trabajo quedó en Seguridad 100, y la nota global de la web subió de 81 a 96, «Excelente» (cifra oficial del cierre, 29 jul 2026). Pero el detalle que más nos importa contarte es otro: las cabeceras hubo que ponerlas dos veces. La primera vez, otro plugin de la propia web las borró al guardar su configuración — sin que nada avisara. Si no hubiéramos verificado el resultado contra la web real después de cada cambio, la protección habría desaparecido en silencio y nadie se habría enterado. Esa es la lección: en seguridad, el trabajo no es «poner el ajuste» — es comprobar que sigue puesto.
Compruébalo hoy en 5 minutos
¿Cómo se arregla — y en qué orden?
Primero, lo que ve el cliente. Forzar la conexión cifrada es una redirección permanente de la versión antigua a la segura: en la mayoría de hostings y WordPress es un interruptor o unas pocas líneas, y el cartel desaparece para siempre. El contenido mixto se arregla localizando las piezas que aún cargan por el canal antiguo y actualizando sus direcciones. Después, el blindaje invisible: las cabeceras. Y estas sí piden método — la que fuerza el cifrado permanente, mal puesta, puede dejar tu web inaccesible un buen rato, así que se estrena con plazos cortos y se amplía cuando está comprobada.
La regla de oro, la del caso de Róterdam: copia de seguridad antes, un cambio cada vez, y verificación contra la web real después de cada cambio — y de nuevo cuando toques cualquier otro plugin, porque se pisan entre ellos sin avisar. Y la advertencia honesta de siempre: nada de esto te sube posiciones en Google por arte de magia. Lo que hace es quitarte el cartel que espanta a los clientes que ya llegan, y proteger de verdad los datos que te confían. No es poco.
¿Qué enseña tu web: el candado o el cartel?
El Health Check de Wosify evalúa gratis el factor Seguridad de tu web — cifrado forzado, contenido mixto y las cabeceras de protección — junto a los otros siete factores de salud, en unos 60 segundos. Sin registro, sin tarjeta y sin pedir acceso a tu web.
Analizar mi web gratis →