El certificado SSL ha dejado de ser un detalle técnico que solo mira el desarrollador: a partir de octubre de 2026, Chrome preguntará al usuario antes de dejarle entrar en cualquier web pública que no lo tenga instalado. Si la web de tu despacho sigue en HTTP, ese aviso se interpone entre el cliente que busca un abogado y el formulario de contacto que tú quieres que rellene. Y no es solo cuestión de conversión: la Agencia Española de Protección de Datos ya ha sancionado webs por recoger datos personales sin cifrar la conexión.
Un certificado SSL cifra la conexión entre el navegador y tu web. Sin él, desde octubre de 2026 Chrome mostrará un aviso antes de abrir cualquier página del sitio, y la AEPD puede sancionar con hasta 1.000 euros la web de un despacho que recoja datos sin esa protección.
Certificado SSL, la advertencia que activa Chrome en 2026
Google lo ha anunciado con nombre de función: Always Use Secure Connections pasa a estar activada por defecto en Chrome. El cambio llega en dos fases. Desde abril de 2026, con la versión 147, afecta a quienes ya tienen activada la Navegación Segura Mejorada, más de mil millones de usuarios en todo el mundo. Desde octubre, con Chrome 154, la función se activa para todos. A partir de ahí, entrar en una web sin certificado SSL exige un clic extra: Chrome intenta la conexión por HTTPS y, si no la encuentra, muestra una pantalla de aviso. Se puede saltar, pero frena la visita.
Qué verá un cliente al entrar en tu web sin HTTPS
El aviso no distingue entre una web bien hecha y una desatendida: aparece igual para todas, y solo un clic separa al usuario de seguir. La diferencia la marca ese clic de más. Google cita estudios de comportamiento que sitúan el abandono de páginas HTTP en cifras muy altas cuando el navegador avisa de que la conexión no es segura, y ese dato de rebote se retroalimenta en cómo Google valora la página. Para un despacho, la visita que se pierde ahí no es tráfico genérico: es alguien que ya buscó un abogado, llegó a la ficha de un servicio y se fue antes de ver el teléfono o el formulario de contacto.
Por qué Google premia ya la conexión cifrada
Google convirtió el HTTPS en señal de posicionamiento en 2014, y la señal sigue vigente. La propia documentación de Google Search Central la describe como una señal ligera: pesa menos que un contenido de calidad y funciona más como criterio de desempate que como motor de subida en el ranking. El peso real, sin embargo, no está solo en esa señal directa. Un sitio en HTTPS puede servirse por HTTP/2, un protocolo más rápido que mejora las métricas de Core Web Vitals, y esas sí influyen en cómo se posiciona una página. Un usuario que no ve el aviso de conexión no segura pasa más tiempo navegando, visita más apartados del despacho y llega con más facilidad al formulario de contacto. El certificado SSL no sube el ranking por sí solo, pero retira un obstáculo que sí puede hacer bajar las visitas y, con ellas, los leads.
La AEPD sanciona la falta de cifrado en formularios
La Agencia Española de Protección de Datos no necesita esperar a Chrome para actuar. En la resolución PS/00185/2020 sancionó con 1.000 euros a un sitio que carecía de certificado SSL, después de comprobar que las conexiones viajaban sin cifrar. El argumento de fondo no era el aviso del navegador: era que faltaba una medida de seguridad básica para proteger los datos que se enviaban desde la web. Un despacho recoge nombre, teléfono y, muchas veces, una descripción del caso en su formulario de contacto. Sin HTTPS, esa información circula en texto plano y cualquiera que intercepte la red puede leerla.
Qué exige el RGPD a un despacho que recoge datos por formulario
El artículo 32 del RGPD obliga a aplicar medidas técnicas y organizativas acordes al riesgo del tratamiento, y cita el cifrado en primer lugar entre esas medidas. Un formulario de contacto que pide nombre, teléfono y detalles de un caso legal maneja datos personales, y en ocasiones datos sensibles si el cliente describe una situación judicial o de salud en el mensaje. La AEPD no distingue entre autónomo, pyme o despacho de abogados a la hora de exigirlo: el riesgo lo marca el dato que se trata, no el tamaño de quien lo trata. Un despacho que ya publica su política de privacidad y su aviso legal pero sigue en HTTP tiene el cumplimiento a medias: resuelve el papel y falla en la infraestructura que debería sostenerlo.
Así se comprueba el certificado SSL de tu despacho
Comprobarlo no exige conocimientos técnicos: basta con mirar la barra de direcciones. Un candado cerrado junto a la URL y el prefijo https:// indican que el certificado está instalado y activo. Si aparece un icono de aviso, falta o está mal configurado. Conviene revisar estos puntos antes de que lo haga Chrome por ti:
- Que la URL empieza siempre por https://, no solo en la portada sino en cada página del blog y en el formulario de contacto.
- Que no aparece contenido mixto: imágenes, iconos o scripts que todavía se cargan por http:// dentro de una página en https://.
- Que las redirecciones de http:// a https:// funcionan en todo el dominio, con www y sin www.
- Que el certificado no está caducado: los gratuitos de Let’s Encrypt duran 90 días y se renuevan solos si el hosting lo tiene configurado.
Los tres errores más comunes en el SSL de un despacho
El error más frecuente es el contenido mixto: la web se migró a HTTPS pero alguna imagen o script de un plugin antiguo se sigue cargando por HTTP, y el navegador degrada el candado a un aviso parcial. El segundo es un certificado que solo cubre una versión del dominio, con www o sin www, y deja la otra sin proteger. El tercero es la renovación fallida: los certificados gratuitos caducan cada 90 días y, si el hosting no la automatiza, el despacho se entera cuando un cliente pregunta si la web es fiable.
Cuánto cuesta pasar tu web a HTTPS
El certificado en sí no debería suponer un gasto aparte. Let’s Encrypt lo emite gratis y la mayoría de los hostings de WordPress en España ya lo incluyen en el plan, con renovación automática cada 90 días. La factura, si aparece, no es por el certificado sino por la migración: mover una web de http:// a https:// cambia la dirección de cada página, y hay que redirigir cada URL antigua a la nueva con un 301 para no perder las posiciones que ya tiene en Google. Ese trabajo es el mismo que exige cualquier rediseño web sin perder posicionamiento, y conviene encargarlo a quien ya lo haya hecho antes: un salto mal hecho deja URLs duplicadas en http y https a la vez, que es justo el contenido mixto que penaliza Chrome. Para un despacho pequeño, con un blog de pocas decenas de artículos, la migración completa suele resolverse en menos de un día de trabajo técnico. Para uno con años de contenido y varias campañas de enlaces apuntando a URLs antiguas, conviene presupuestarlo como un proyecto aparte, no como un ajuste de última hora antes de octubre.
Preguntas frecuentes sobre el certificado SSL
¿Cuánto cuesta un certificado SSL para la web de un despacho?
Nada, en la mayoría de los casos: Let’s Encrypt lo emite gratis y casi todos los hostings de WordPress en España lo activan solo con pedirlo. Lo que sí puede tener coste es la migración de http a https si la web lleva años online y hay que redirigir URLs antiguas.
¿Qué pasa si mi web no tiene certificado SSL en octubre de 2026?
Chrome mostrará un aviso antes de dejar entrar al usuario, que puede saltarlo con un clic pero que frena la visita. No se bloquea la web ni desaparece de Google, pero sí se pierde parte del tráfico que abandona al ver el aviso.
¿El certificado SSL sube el posicionamiento de mi web?
Por sí solo, poco: Google lo trata como una señal ligera desde 2014. Ayuda de forma indirecta, al permitir protocolos más rápidos y al evitar que el usuario abandone la página en cuanto ve el aviso de conexión no segura.
¿Puede la AEPD sancionar a un despacho por no tener HTTPS?
Sí. Ya lo ha hecho, con una multa de 1.000 euros a un sitio que recogía datos personales sin cifrar la conexión. El artículo 32 del RGPD exige medidas de seguridad acordes al riesgo, y el cifrado es la primera que cita.
Fuente: Google Security Blog