https y una buena redirección

Módulo 4: Velocidad, móvil y https · Tiempo de lectura: 11 minutos

Objetivo de aprendizaje: Después de esta lección podrá explicar por qué https es importante para los buscadores y los visitantes, nombrar la diferencia entre una redirección permanente y una temporal, y comprobar que todas las variantes de su dirección llegan en un solo paso a la misma página https.

Conceptos clave: https, certificado, redirección (redirect), 301 y 308 (permanente), 302 y 307 (temporal), cadena de redirecciones, dirección preferida, con www o sin www, HSTS, contenido mixto

Cuatro direcciones para una sola página de inicio

Si escribe el nombre de un sitio web en la barra de direcciones, su navegador puede llegar a cuatro sitios distintos:

Para usted es un solo sitio. Para un buscador son cuatro direcciones diferentes. Si las cuatro muestran la misma página, Google tiene que elegir por su cuenta cuál es la dirección "real". Google la llama la dirección canónica (la lección 3.5 lo trata con más detalle). Google recomienda que usted mismo elija una dirección como dirección preferida y redirija las demás variantes hacia ella. Así no hay dudas, y los enlaces a cualquier variante cuentan para la misma página.

Bloemenatelier Lotte elige https://www.example.com/. Las otras tres variantes redirigen hacia ella. Para los buscadores da igual que elija con o sin www. Lo importante es que haga una sola elección y la mantenga en todas partes: en su menú, su sitemap, su canonical y su perfil de empresa.

Por qué https

https significa que la conexión entre el navegador y el servidor está cifrada con un certificado. Nadie en el camino puede leer lo que se envía ni modificar algo en la página, por ejemplo en una red wifi pública.

Para los buscadores, https cuenta de dos maneras:

1. Como señal. En 2014 Google anunció que https es una señal de posicionamiento, pero entonces la describió como "una señal muy ligera" que pesa menos que un buen contenido. En la documentación sobre la experiencia de página, https aparece como una de las preguntas que debe hacerse ("¿se sirven sus páginas de forma segura?"). Así que no lo exagere: https por sí solo no le lleva a los primeros puestos.
2. Para los visitantes. Los navegadores muestran "No seguro" en una página con http, sobre todo si tiene un formulario. Un visitante que lo ve abandona antes. Eso lo notará en sus visitas, no en una regla de posicionamiento.

Hoy en día se puede obtener un certificado válido de forma gratuita a través de Let's Encrypt. En la mayoría de los proveedores de hosting, también en WebOké, se solicita y se renueva automáticamente. Asegúrese de que el certificado cubra ambos nombres: sin y con www. Si solo cubre example.com, https://www.example.com/ dará un error de certificado antes incluso de que pueda producirse la redirección.

Redirigir de forma permanente o temporal

Una redirección (redirect) es una respuesta del servidor: "esta página está en otro lugar". Se hace con un código de estado de tres cifras que empieza por 3, más una cabecera Location con la nueva dirección.

Según Google Search Central, la indexación usa una redirección permanente como señal de que el destino debe ser canónico. Con una redirección temporal eso no ocurre: la dirección antigua suele seguir apareciendo en los resultados. El paso de http a https y la elección entre con o sin www son situaciones definitivas. Por tanto, utilice 301 o 308.

Puede ver una redirección usted mismo. En un terminal:

$ curl -sI http://example.com/
HTTP/1.1 301 Moved Permanently
Location: https://www.example.com/

O en su navegador: abra las herramientas para desarrolladores (F12), pestaña Red, active la opción que conserva el registro al cargar una página nueva y cargue la dirección http. Verá cada paso con su código.

Cadenas de redirecciones

Una cadena de redirecciones es una redirección hacia una dirección que a su vez vuelve a redirigir. Un ejemplo frecuente:

http://example.com/        301 → https://example.com/
https://example.com/       301 → https://www.example.com/
https://www.example.com/   200

Funciona, pero en cada primera visita cuesta un viaje de ida y vuelta adicional al servidor. web.dev menciona las redirecciones como una de las causas de una primera respuesta lenta del servidor (lección 4.3): cada paso suma, y las cadenas todavía más. Es mejor que cada variante llegue en un solo paso a la dirección preferida:

http://example.com/          301 → https://www.example.com/
http://www.example.com/      301 → https://www.example.com/
https://example.com/         301 → https://www.example.com/
https://www.example.com/     200

Con la antigua dirección http del otro nombre no siempre se consigue en un solo paso, porque con algunas configuraciones el servidor redirige primero a https del mismo nombre y solo después al otro nombre. En ese caso, dos pasos es aceptable; tres o más es motivo para revisar la configuración. Un bucle (A redirige a B, B vuelve a redirigir a A) siempre es un error: la página no llega a abrirse.

HSTS: el navegador lo recuerda

HSTS (HTTP Strict Transport Security, RFC 6797) es una cabecera que el servidor envía a través de https:

Strict-Transport-Security: max-age=31536000

Un navegador que la ha visto una vez va directamente a https para este sitio a partir de entonces, sin probar antes http. Eso ahorra la primera redirección y protege frente a quien intente espiar la conexión. web.dev también menciona HSTS como forma de evitar la redirección de http a https. Para los buscadores, HSTS no es una señal; para sus visitantes es una mejora. Actívela solo cuando https funcione bien en todos los nombres, porque el navegador lo recuerda durante el tiempo que indique max-age. El curso Veilig online (seguridad en internet) lo trata con más detalle.

Contenido mixto

Una página https que carga una imagen, un script o una hoja de estilos a través de http:// tiene contenido mixto (mixed content). Los navegadores bloquean los scripts y las hojas de estilos no seguros, o muestran una advertencia. Después del cambio a https, esto se ve a menudo en imágenes antiguas dentro de los textos o en un tema con direcciones fijas. Busque en el código fuente src="http:// y href="http:// y sustitúyalos por https o por una dirección relativa.

En la práctica: configurar la redirección a https

Con un plan de hosting de WebOké, la redirección a https se activa en DirectAdmin en la configuración del dominio (interruptor "Forzar SSL con redirección https"), y en la misma página elige en "Forzar redirección" si trabaja con o sin www. Configure la redirección en un solo lugar: dos reglas que hacen cada una algo distinto (por ejemplo, en el panel y en un plugin) provocan fácilmente un bucle. Un sitio creado con AI Builder recibe al publicarse un certificado y una dirección propia. En WordPress, en Ajustes, General, introduzca la dirección de WordPress y la dirección del sitio con https:// y el nombre que haya elegido; la redirección en sí se configura en el servidor. Con otros proveedores y creadores de sitios web funciona de forma parecida, solo que los botones tienen otro nombre.

Si prefiere hacerlo mediante .htaccess (Apache o LiteSpeed), esto redirige todas las variantes en un solo paso a https://www.example.com:

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} !^www\.example\.com$ [NC]
RewriteRule ^ https://www.example.com%{REQUEST_URI} [R=301,L]

Después, compruebe siempre las cuatro variantes, también con una ruta detrás (http://example.com/contact): la ruta debe conservarse y no saltar a la página de inicio.

Resumen

• Elija una dirección preferida (https, con o sin www) y redirija las demás variantes hacia ella.
• Para redirecciones definitivas, use 301 o 308; 302 y 307 son temporales y no dan a Google ninguna señal sobre la dirección canónica.
• Haga que cada variante llegue a la dirección preferida en un solo paso, como mucho dos; las cadenas cuestan tiempo y los bucles rompen el sitio.
• Según Google, https es una señal de posicionamiento ligera; para los visitantes es sobre todo una cuestión de confianza. El certificado debe cubrir ambos nombres.
• HSTS hace que el navegador vaya directamente a https; el contenido mixto se limpia después del cambio.

Cuestionario

Ejercicio

Ejercicio A4.1: ¿Llega todo a https en un solo paso? Introduzca su nombre de dominio (sin www). El programa prueba las cuatro variantes (http y https, con y sin www), sigue cada redirección paso a paso y comprueba el certificado de ambos nombres. Para cada variante verá la cadena con los códigos de estado, si todas llegan a la misma dirección https y si hay una cabecera HSTS. ¿No tiene sitio propio? Use rijksoverheid.nl.

Para seguir leyendo

Los pasos de estos artículos se aplican a los paneles de WebOké; con otros proveedores funciona de forma parecida.

• Manual de DirectAdmin 6.4: Enviar siempre a los visitantes a https
• Manual de DirectAdmin 4.3: Configuración de un dominio: SSL, PHP, www y private_html
• Manual de DirectAdmin 6.3: Certificado para www, subdominios y wildcard
• Redirigir obligatoriamente a los visitantes a https
• Curso gratuito de DNS 3.4: www, redirecciones y lo que el DNS no hace
• Google Search Central, Redirects and Google Search: https://developers.google.com/search/docs/crawling-indexing/301-redirects
• Google Search Central Blog, HTTPS as a ranking signal (2014): https://developers.google.com/search/blog/2014/08/https-as-ranking-signal
• RFC 6797 (HSTS): https://www.rfc-editor.org/rfc/rfc6797