Really Simple SSL on specific pages

En un sitio a medias, lo primero que se decide es la portada

Tu web podría ir entera por HTTPS, salvo por una página: la que incrusta un servicio antiguo que no admite conexiones seguras. O al revés: solo necesitas cifrar el formulario de contacto y el área de clientes, y prefieres dejar el resto como está por ahora. Lo mejor sería que ese servicio admitiera HTTPS, pero mientras no lo haga necesitas una salida página a página.

Lo que suele pasarse por alto es dónde queda la portada. Elegir páginas es la parte fácil; lo que condiciona el resultado es si la portada va por HTTPS. Cuando un navegador carga la raíz del dominio por conexión segura, puede empezar a forzar también las subpáginas, y además recuerda que el sitio iba por SSL. Por eso Really Simple SSL per page trata la portada como un caso aparte, con su propio ajuste.

Dos modos para decidir página a página

• Añadir páginas a SSL: todo va por HTTP menos lo que marques.
• Excluir páginas de SSL: con esta opción, todo va por HTTPS menos lo que marques.
• Casilla en cada edición: "This page on https", en un cuadro lateral.
• Cambios en bloque: las acciones Make HTTP y Make HTTPS en el listado.
• Columna con icono en el listado, que se pulsa para cambiar una página.
• Todos los tipos de contenido públicos, no solo páginas: también entradas y tipos propios.

Cómo redirige y qué deja fuera

El plugin redirige desde el servidor y en los dos sentidos: lleva a HTTPS las páginas marcadas y a HTTP las que no lo están. Quien solo quiera la primera mitad puede desactivar la redirección a HTTP con la constante RSSSL_NO_HTTP_REDIRECT.

La redirección es temporal (302) hasta que actives Redirect permanently, que la convierte en 301. Es lo mejor para el posicionamiento, pero viene apagada porque complica los cambios mientras configuras. Déjala para el final, cuando el reparto de páginas esté cerrado.

El área de administración, las peticiones AJAX y las vistas previas, incluidas las de Elementor y Divi, quedan fuera de las redirecciones.

La opción Auto replace mixed content sustituye las direcciones inseguras por seguras, y solo aparece cuando el plugin detecta SSL en el sitio. Si dejas una página por HTTP precisamente por un marco de un servicio sin HTTPS, comprueba esa página a mano después de configurarla, en una ventana privada para que el navegador no use lo que recuerda.

Certificado, HSTS y cortafuegos corren por otra cuenta

Necesitas un certificado en el servidor: entre sus ajustes no hay generación de certificados. Tampoco hay ajuste de HSTS, y si tu servidor ya envía esa cabecera, los navegadores pueden forzar HTTPS por su cuenta.

Entre sus ajustes tampoco hay cortafuegos ni protección de acceso. Y no convive con la versión gratuita de Really Simple SSL: se instala en su lugar.

Versiones mínimas y puesta en marcha por páginas

Pide como mínimo WordPress 4.9 y PHP 5.6, además de un certificado en el servidor. Como la redirección se aplica a visitas reales, prueba primero en una copia con tu versión actual de WordPress y PHP. Después:

1. Desactiva la versión gratuita de Really Simple SSL si la tienes.
2. Sube el archivo del plugin y actívalo.
3. En Ajustes, SSL, decide si añades páginas o las excluyes, y define Homepage on SSL.
4. Marca las páginas, una a una o en bloque.
5. Comprueba cada una en una ventana privada y activa Redirect permanently al terminar.

Cuando lo que quieres es HTTPS en todo el sitio

Si el servicio que te frenaba ya admite HTTPS, un plugin para el sitio entero es más directo. WP Force SSL PRO reúne redirección 301, escáner de contenido, corrección del contenido mixto y HSTS. Really Simple SSL Pro activa HTTPS y genera certificados de Let's Encrypt, y es además una suite de seguridad con cortafuegos y autenticación en dos pasos. Entre las funciones que reúnen no hay reparto de páginas entre HTTP y HTTPS.

Portada, 301 y páginas que siguen en HTTPS

¿Puedo tener la portada por HTTPS y una subpágina por HTTP?

La portada tiene ajuste propio, pero un navegador que entra por HTTPS en la raíz puede forzar también las subpáginas. Pruébalo en tu sitio antes de darlo por bueno.

¿Cuándo activo la redirección 301?

Cuando termines de configurar. Viene apagada para que los cambios de prueba sean sencillos.

¿Por qué sigo viendo HTTPS en una página excluida?

Los navegadores recuerdan que el sitio iba por SSL. Prueba en una ventana privada y comprueba cómo está el ajuste de la portada.