WP Force SSL PRO

HTTPS no se queda arreglado para siempre

El día que instalas el certificado aparece el candado y el asunto parece cerrado. Meses después alguien pega en una entrada una imagen con dirección http://, el certificado llega a su fecha sin renovar o una mudanza de alojamiento cambia la configuración. El primer aviso puede ser la alerta del navegador delante de un cliente.

HTTPS es un estado que hay que vigilar, porque cada entrada nueva o cada mudanza puede romperlo. WP Force SSL PRO, de WebFactory, reúne las dos mitades del trabajo: dejarlo bien hoy, con la redirección y la corrección del contenido mixto, y comprobarlo de nuevo mañana, con el escáner de contenido y las pruebas integradas.

Redirección, escáner, pruebas y cabeceras en un solo plugin

• Redirección 301 de HTTP a HTTPS, por PHP si tu servidor no usa .htaccess, o por .htaccess si lo permite, para que la redirección vaya más rápido.
• Escáner de contenido que recorre el sitio entero en busca de contenido mixto y entrega un informe.
• Corrección del contenido mixto en la parte pública y en el área de administración.
• Generación de certificados de Let's Encrypt con un botón en los ajustes.
• HSTS, para que el navegador cargue directamente la versión segura y no la HTTP.
• Cookies seguras y cabeceras: Expect-CT, X-XSS, X-Content-Type-Options, Referrer-Policy, X-Frame-Options y Permissions-Policy.
• Pruebas integradas sobre el certificado, las direcciones de WordPress, la redirección y el acceso de escritura a .htaccess.

Por qué un certificado válido no garantiza el candado

El certificado cubre tu dominio, pero la página la componen muchos archivos. Si una sola imagen o un script se pide por http://, tienes contenido mixto, y el candado puede no aparecer aunque el certificado esté perfecto. Revisar a mano cada página no es realista en un sitio con años de entradas.

La versión gratuita no incluye el escáner, la corrección del contenido mixto ni la generación de certificados. Se queda con la redirección por PHP, HSTS y Expect-CT, entre otras cosas, así que el salto a PRO cubre la parte de encontrar y corregir.

Para el otro riesgo, repite las pruebas integradas de vez en cuando: incluyen la comprobación del certificado y de su fecha de caducidad.

Qué sigue dependiendo de ti y de tu alojamiento

No instala el certificado por ti. Lo genera, pero la instalación automática no está entre sus funciones, así que ese paso queda en tus manos.

No es un plugin de seguridad general. Las cabeceras refuerzan lo que hace el navegador. Entre sus funciones no hay cortafuegos ni escáner de malware.

No es de usar una vez y quitar. En el 90 % de los sitios los cambios se aplican al vuelo, y desactivar el plugin los deshace. La ventaja es que puedes volver atrás. La contrapartida es que el plugin tiene que seguir activo. Si un cambio tiene que ser permanente, te pide confirmarlo dos veces.

Qué necesitas y cómo dejarlo funcionando

Hace falta un certificado SSL, sea de pago, del alojamiento o generado desde el propio plugin.

1. Instala el plugin y ejecuta las pruebas para ver el estado de partida.
2. Si no tienes certificado, genéralo desde los ajustes e instálalo.
3. Activa la redirección que corresponda a tu servidor.
4. Lanza el escáner de contenido y revisa el informe.
5. Activa la corrección del contenido mixto y repite las pruebas.

Otros plugins para el SSL y la seguridad de WordPress

Really Simple SSL Pro parte del mismo problema, también genera certificados de Let's Encrypt y suma cortafuegos y escaneo de vulnerabilidades. Para quien gestiona muchos sitios con MainWP, MainWP SSL Monitor comprueba los certificados de los sitios conectados y avisa por correo cuando alguno está cerca de caducar. Y si lo que te falta es protección contra ataques, Wordfence Security Premium aporta el cortafuegos de aplicación y el escáner de malware que aquí no hay.

Dudas sobre WP Force SSL PRO

¿Necesito tener ya un certificado?

Necesitas uno para usar HTTPS, pero el plugin puede generarlo con Let's Encrypt desde sus ajustes. Después tendrás que instalarlo.

¿Renueva el certificado?

Regenera el certificado cada 90 días, pero entre sus funciones no hay instalación automática: cada certificado regenerado tienes que instalarlo tú.

¿Sirve para pasar un sitio de HTTP a HTTPS?

Sí. Redirige el contenido, comprueba el certificado y añade otras medidas de seguridad.