Escribir la dirección de un banco online y ver que empieza por «http://» en lugar de «https://» debería encender todas las alarmas. HTTPS (HyperText Transfer Protocol Secure) es la versión cifrada del protocolo que usan los navegadores para comunicarse con un servidor web, garantizando que la información que viaja entre ambos no puede leerse ni manipularse fácilmente por terceros.
Qué añade exactamente esa «S» final
El protocolo HTTP tradicional transmite la información en texto legible, sin ninguna protección: cualquiera con acceso a la misma red (una wifi pública, por ejemplo) podría, en teoría, leer esos datos mientras viajan. HTTPS añade una capa de cifrado, mediante un certificado SSL/TLS instalado en el servidor, que convierte esa información en un formato ilegible para cualquiera que intente interceptarla sin la clave adecuada.
Por qué se ha convertido en un estándar obligatorio, no una opción
- Los navegadores modernos muestran una advertencia explícita de «no seguro» en cualquier web sin HTTPS, generando desconfianza inmediata.
- Google confirmó hace años que HTTPS es una señal de posicionamiento SEO, aunque de peso moderado frente a otros factores.
- Ciertas funcionalidades modernas del navegador (geolocalización, notificaciones push) solo funcionan en conexiones seguras.
- Servicios gratuitos como Let’s Encrypt han eliminado la barrera de coste que antes existía para adoptarlo.
HTTPS no es garantía absoluta de seguridad total
Cifra la conexión entre navegador y servidor, pero no protege contra otros riesgos como una web mal programada con vulnerabilidades propias, contraseñas débiles, o software desactualizado con fallos de seguridad conocidos. HTTPS es una capa necesaria de seguridad, no la única ni la suficiente por sí sola para considerar una web completamente segura frente a cualquier amenaza.
Cómo comprobar si una web lo tiene bien configurado
El candado visible junto a la dirección en la barra del navegador es la señal más directa y accesible para cualquier usuario. Herramientas más técnicas permiten verificar además que el certificado no ha caducado, que cubre correctamente todos los subdominios necesarios, y que no hay contenido mixto (elementos cargados todavía por HTTP dentro de una página servida por HTTPS), un error habitual que puede generar advertencias parciales de seguridad.