Cómo instalar un certificado SSL en WordPress Multisite

En este tutorial aprenderás cómo instalar un certificado SSL en WordPress Multisite. Hay dos partes: instalar el certificado a nivel de servidor (el tipo depende de si tu red utiliza subdirectorios, subdominios o dominios independientes) y luego forzar HTTPS en toda la red desde dentro de WordPress.

¿Qué certificado SSL necesita tu Multisite?

WordPress Multisite es una función nativa de WordPress que te permite crear y gestionar múltiples sitios desde una sola instalación y panel de control. Puedes configurar una red con uno de tres diseños: subdirectorios, subdominios o dominios independientes. El diseño determina qué certificado necesitas, porque cada uno protege los nombres de host de forma diferente. Si no estás seguro de qué certificado se ajusta a tu configuración, usa nuestro SSL Wizard para encontrar un producto adecuado para tu proyecto y presupuesto.

Multisite como subdirectorios

Un subdirectorio (también llamado subcarpeta) es una ruta dentro de un único dominio. Por ejemplo:

• tusitio.com/blog
• tusitio.com/tienda
• tusitio.com/membresia

Como cada subsitio se encuentra bajo el mismo nombre de host, un único certificado SSL estándar para ese dominio protege toda la red. Si tu dominio principal ya funciona con HTTPS, los sitios en subdirectorios quedan cubiertos automáticamente, sin necesidad de comprar un certificado adicional.

Multisite como subdominios

Un subdominio es una sección que se ubica delante del dominio raíz. Los subdominios son una forma práctica de separar partes de una red. Por ejemplo:

• blog.tusitio.com
• tienda.tusitio.com
• membresia.tusitio.com

Para una red que funciona con subdominios, un certificado SSL Wildcard es la opción adecuada. Un Wildcard protege el dominio raíz más un número ilimitado de subdominios de primer nivel bajo él, todo en un solo certificado. Puedes añadir nuevos subsitios en cualquier momento, y quedan cubiertos sin necesidad de volver a emitir el certificado.

Nota: un Wildcard cubre un nivel de subdominios. Un certificado para *.tusitio.com protege blog.tusitio.com, pero no tienda.blog.tusitio.com. Si tu red anida subdominios a esa profundidad, debes planificar ese nivel por separado.

Multisite como dominios diferentes

Si quieres que cada subsitio use su propio dominio personalizado, primero debes mapear los dominios. El mapeo de dominios está integrado en el núcleo de WordPress desde la versión 4.5, por lo que ya no se requiere un plugin de mapeo independiente. Se mapea un dominio editando el subsitio en Administrador de la red > Sitios > Editar y estableciendo su Dirección del sitio (URL) al dominio personalizado (tu DNS y servidor ya deben apuntar ese dominio hacia la red).

Una vez que tus dominios estén mapeados, protégelos con un certificado SSL multidominio. Un certificado multidominio (también llamado certificado SAN) cubre por defecto varios dominios sin relación entre sí y acepta Nombres Alternativos del Sujeto adicionales a petición, de modo que un solo certificado y una sola renovación protegen toda la red. Los servidores que alojan varios sitios HTTPS en una sola IP se apoyan en SNI (Server Name Indication) para presentar el certificado correcto según el nombre de host, algo que admiten todos los navegadores y servidores actuales.

Instala el certificado en tu servidor

WordPress no instala el certificado por sí mismo. Lo instalas en el servidor o host que ejecuta la red, y luego cambias WordPress a HTTPS. Los pasos exactos dependen de tu entorno:

• Hosting gestionado o compartido: sube o pega el certificado, la clave privada y el paquete de la CA en tu panel de control (cPanel, Plesk, o la pantalla de SSL/TLS del proveedor). Muchos hostings de WordPress gestionados instalan y renuevan los certificados por ti.
• Apache: apunta SSLCertificateFile y SSLCertificateKeyFile a tu certificado de cadena completa y clave dentro del VirtualHost del puerto 443. Consulta nuestras guías de instalación para conocer las directivas exactas.
• Nginx: establece ssl_certificate (cadena completa) y ssl_certificate_key en el bloque de servidor que escucha en el puerto 443.

¿Necesitas el certificado primero? Genera la solicitud con nuestro CSR Generator, o sigue un tutorial paso a paso de CSR para tu plataforma. Después de que la Autoridad de Certificación emita los archivos y los instales, confirma que el certificado está activo con nuestro SSL Checker antes de continuar.

Activa HTTPS en toda la red Multisite

Con el certificado instalado en el servidor, el último paso es lograr que WordPress sirva todos los sitios mediante HTTPS. Haz una copia de seguridad de tu base de datos y archivos antes de empezar, porque estos cambios afectan a las URL de los sitios en toda la red.

Paso 1: Actualiza las URL del sitio y de inicio a https

En Administrador de la red > Sitios, abre cada subsitio, ve a la pestaña Ajustes, y cambia Siteurl y Home de http a https. Para el sitio principal también puedes establecer esto en su propia pantalla Ajustes > Generales (los campos Dirección de WordPress y Dirección del sitio). Guarda cada sitio después de editarlo.

Paso 2: Fuerza HTTPS para el administrador y el inicio de sesión

Edita wp-config.php en la raíz de la red y añade esta línea justo encima del comentario que dice /* That’s all, stop editing! Happy publishing. */:

define( 'FORCE_SSL_ADMIN', true );

Esto envía cada sesión de inicio de sesión y administración a través de HTTPS en toda la red. Añádelo únicamente después de que el certificado funcione en el servidor, ya que de lo contrario el área de administración puede quedar inaccesible.

Si la red se encuentra detrás de un proxy inverso o un balanceador de carga que termina el SSL (algo común en hosting gestionado y CDN), WordPress puede no detectar HTTPS y entrar en un bucle de redirecciones. En ese caso, indica a WordPress que confíe en el encabezado de protocolo reenviado añadiendo esto justo encima de la misma línea:

if ( isset( $_SERVER['HTTP_X_FORWARDED_PROTO'] ) && strpos( $_SERVER['HTTP_X_FORWARDED_PROTO'], 'https' ) !== false ) {
    $_SERVER['HTTPS'] = 'on';
}

Paso 3: Sustituye las URL http codificadas en la base de datos

Las publicaciones, menús y ajustes existentes a menudo almacenan enlaces http completos. Ejecuta una búsqueda y sustitución para que se conviertan en https. La herramienta más segura es WP-CLI, que gestiona correctamente los datos serializados y puede dirigirse a toda la red:

wp search-replace 'http://yoursite.com' 'https://yoursite.com' --network --skip-columns=guid --dry-run

Revisa el resultado de la simulación y luego ejecuta el comando de nuevo sin –dry-run para aplicar el cambio. Repite esto para cada dominio distinto en una red que utilice sitios independientes o en subdominios. Si no tienes acceso a WP-CLI, un plugin mantenido como Better Search Replace realiza la misma tarea desde el panel de control. Deja intacta la columna guid, ya que modificarla puede afectar a los lectores de feeds.

Paso 4: Verifica y (opcionalmente) redirige

Carga cada sitio y confirma que aparece el candado sin avisos de contenido mixto en la consola del navegador. Un plugin de forzado de HTTPS como Really Simple SSL (que admite Multisite) puede detectar cualquier solicitud insegura restante y añadir la redirección de HTTP a HTTPS por ti. También puedes gestionar la redirección a nivel de servidor en la configuración de Apache o Nginx. Para ver un recorrido completo sobre cómo mover un sitio a HTTPS, consulta nuestra guía sobre cambiar de HTTP a HTTPS.

Tu red WordPress Multisite ahora sirve todos los sitios mediante HTTPS.

Preguntas frecuentes