SSL de WooCommerce – Asegurando tu tienda
Si estás configurando una tienda, es posible que hayas notado que hay algunas configuraciones específicas de SSL para WooCommerce. Del mismo modo, muchas pasarelas de pago requieren que WooCommerce funcione a través de un protocolo HTTPS para operar (como Stripe y otros procesadores de tarjetas de crédito).
¿Necesitas entonces un certificado SSL para tu tienda WooCommerce? Y si es así, ¿dónde consigues uno y qué otras cosas necesitas saber?
Bueno, para empezar, si solo estás usando WooCommerce tal cual con PayPal estándar, los pagos se desvían a su sitio y, técnicamente hablando, no necesitas un certificado SSL.
Pero para muchas otras pasarelas de pago, sí que necesitarás un certificado SSL para aceptar pagos de forma segura.
Los certificados SSL también proporcionan un nivel de confianza para los consumidores porque, a lo largo de muchos años de comprar cosas en línea, nos han entrenado para buscar subconscientemente el pequeño icono del candado o la barra verde en la barra de direcciones de tu navegador antes de pulsar "pagar".
¿Entonces, vale la pena el esfuerzo de un certificado SSL para WooCommerce?
Voy a argumentar que sí, deberías instalar un certificado SSL para las tiendas WooCommerce que aceptan pagos en línea, incluso si tu procesador de pagos no lo requiere.
Este artículo repasará todo lo que necesitas saber como propietario de una tienda sobre el SSL de WooCommerce. Al final, tendrás una idea bastante clara sobre si necesitas uno para tu tienda o no.
¿Cuál es la diferencia entre SSL de WooCommerce y HTTPS de WooCommerce?
Hagamos un poco de "edu-ca-ción" para los no iniciados :)
Comparar SSL y HTTPS es un poco difícil porque están en dos capas diferentes. Sin entrar en demasiados tecnicismos, intentaré explicar la diferencia en términos sencillos.
SSL significa Secure Socket Layer (Capa de Conexión Segura). Se utiliza para proporcionar una conexión segura entre tu ordenador y el servidor web.
HTTPS significa Hypertext Transfer Protocol (Secure) (Protocolo de Transferencia de Hipertexto Seguro), es básicamente la combinación del protocolo HTTP, que es lo que tu navegador usa para buscar páginas en internet, y SSL. En otras palabras, HTTPS usa SSL para crear una conexión HTTP segura.
Otra forma de pensar en la diferencia es cómo se apilan los protocolos unos sobre otros. Esta respuesta de StackOverflow lo describe bien:
En HTTP normal, no cifrado, la pila de protocolos puede verse así:
- HTTP
- TCP
- IP
- Ethernet
Cuando se usa HTTPS, la pila se ve así:
- HTTP
- TLS (SSL)
- TCP
- IP
- Ethernet
¿Es seguro WooCommerce?
WooCommerce es una de las plataformas de comercio electrónico más estables y sofisticadas para gestionar tu tienda.
Como el plugin de comercio electrónico más destacado que se ejecuta en el sistema de gestión de contenidos más prominente (WordPress) del mundo, hay un gran enfoque en la seguridad.
Si bien ningún sistema es infalible, WooCommerce se actualiza con frecuencia y se audita regularmente en cuanto a seguridad.
Cumplimiento PCI-DSS de WooCommerce
Es posible que hayas oído hablar del término "Cumplimiento PCI", así que pensé en añadir una breve mención sobre el cumplimiento PCI y WooCommerce para aclarar algunos mitos.
PCI-DSS significa Payment Card Industry Data Security Standard (Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago), a menudo se le llama simplemente PCI.
Aunque WooCommerce en sí mismo no tiene la certificación PCI-DSS, eso no significa que no sea seguro.
La idea errónea más común es que el software en sí necesita cumplir con la normativa PCI. Sin embargo, es responsabilidad del propietario del sitio asegurarse de que su sitio web cumpla con todos los requisitos de certificación PCI (si es que realmente se requiere), no de WooCommerce.
El cumplimiento de la normativa PCI se refiere principalmente a cómo se almacenan y comunican los datos de pago.
Puedes usar WooCommerce y cumplir con la normativa PCI. La parte del cumplimiento a menudo depende del proveedor de alojamiento web y de las pasarelas de pago que se utilicen.
¿Necesitas cumplir con la normativa PCI?
Si estás cobrando pagos fuera del sitio utilizando una pasarela que usa sus propios servidores para procesar los pagos (Authorize.net, PayPal, Stripe, etc.), entonces no estás transmitiendo datos de tarjetas y no necesitas tomar medidas para cumplir. Estas empresas se encargan del cumplimiento por ti.
Si estás programando tu propia pasarela de comercio y transmitiendo datos directamente a una cuenta de comercio, entonces sí, necesitas estar certificado.
¿Puedes ejecutar WooCommerce sin SSL?
Sí, puedes ejecutar WooCommerce sin tener un certificado SSL.
WooCommerce en sí se trata de gestionar datos de productos y recibir pedidos, en realidad no requiere un protocolo seguro para hacerlo.
Además, si estás utilizando una pasarela de pago que se encarga del lado de la seguridad por ti, como PayPal Standard, entonces no necesitas un certificado SSL para cobrar los pagos de tus pedidos. Los clientes son transferidos fuera del sitio, completan su pago y luego son transferidos de vuelta a tu sitio para ver los detalles de su pedido completado.
¿Aún así deberías obtener un certificado SSL? ¡Ahora estás haciendo las preguntas correctas!
Personalmente, creo que cualquier sitio puede aumentar la confianza percibida al instalar un certificado SSL. Así que, incluso si no lo necesitas estrictamente, te insto a que consideres instalar uno de todos modos.
Certificado SSL de WooCommerce
¿Hay algún certificado SSL específico para WooCommerce que necesites obtener? No, no existe tal cosa como un Certificado SSL de WooCommerce.
Puedes usar cualquier certificado SSL para tiendas WooCommerce porque el SSL se instala a nivel del servidor y en realidad no tiene mucho que ver con la configuración de tu tienda en absoluto.
¿Cuál es el costo de un certificado SSL?
Los costos varían según el tipo de certificado SSL. Es posible que hayas notado que algunos certificados pueden costar miles al año, mientras que otros son bastante baratos.
¿Por qué es exactamente? Bueno, es una respuesta un poco complicada.
La historia corta es que los vendedores pueden cobrar lo que quieran por un certificado SSL. Algunos hosts incluso lo regalan gratis ahora.
La razón principal por la que algunos certificados cuestan miles es que los certificados SSL más caros vienen con un nivel de seguro. Esto puede ayudar a proporcionar cierta protección contra el fraude.
Para la mayoría de las tiendas básicas, no necesitarás un certificado SSL que cueste más de $100 al año. Si estás pagando más que eso, busca uno más barato. O pregunta a tu proveedor de alojamiento si te proporciona uno gratis.
Hay varios proveedores de alojamiento que ofrecen SSL gratuito con sus planes de alojamiento, como:
¿Cómo instalar un certificado SSL en tu tienda WooCommerce?
Un certificado SSL no se instala en WooCommerce en sí, ni siquiera en WordPress. Lo instalas en tu servidor web.
La mayoría de los proveedores de alojamiento web instalarán tu certificado SSL si les reenvías la información correcta.
Si estás utilizando un panel de control de servidor cPanel, puedes hacerlo tú mismo siguiendo estas sencillas instrucciones:
Primero, necesitarás comprar tu certificado SSL. Te recomiendo que busques en sitios como Namecheap.com, que venden certificados de forma bastante asequible. Una vez que el certificado haya sido emitido y activado, tendrás acceso a los archivos del certificado necesarios para la instalación (o te los habrán enviado por correo electrónico).
1. Inicia sesión en tu cPanel y haz clic en Administrador de SSL/TLS en la sección Seguridad:
2. A continuación, haz clic en “Administrar sitios SSL”
3. Abre el archivo del certificado (.crt) en el Bloc de notas (o TextEdit en Mac) y copia los datos del certificado, incluyendo —–BEGIN CERTIFICATE—– y —–END CERTIFICATE—–, y pégalos en el área “Certificado: (CRT)”.
4. Haz clic en el botón Rellenar automáticamente por certificado.
5. Haz clic en el botón “Instalar certificado” y listo.
Esto debería haber instalado tu certificado correctamente. Si encontraste problemas, envía un ticket de soporte a tu proveedor de alojamiento, ya que puede haber pasos adicionales requeridos.
Cómo hacer que tu sitio muestre HTTPS en lugar de solo HTTP
A continuación, necesitarás hacer que tu sitio se muestre con el protocolo https en lugar de http. Haz esto solo después de haber instalado correctamente tu certificado.
Puedes comprobarlo intentando visitar tu sitio web usando https en lugar de http al principio. Si ves un error, entonces el certificado aún no está instalado correctamente; contacta a tu proveedor de alojamiento.
Hay dos maneras de hacer que tu sitio se muestre como HTTPS por defecto:
- Puedes exportar tu base de datos usando algo como WP Migrate DB. Este plugin te permite exportar la base de datos de tu sitio web y cambiar las URL almacenadas en la base de datos a https en lugar de http mientras lo haces. Una vez que hayas exportado, impórtala de nuevo para que ahora estés ejecutando tu sitio en las nuevas URL https. Si eres desarrollador, sugiero esta opción, ¡pero asegúrate de hacer una copia de seguridad de la base de datos!
- Puedes instalar un plugin como WordPress HTTPS (SSL) y seguir las instrucciones. Sugiero introducir * en el campo de URL para aplicar el cambio en todo el sitio. Puedes hacerlo selectivamente para ciertas páginas si lo deseas (esto podría causar problemas más adelante). Una vez hecho, el plugin se asegurará de que todas tus URL http se redirijan a la versión https. También intentará corregir las URL de imágenes y scripts en la página.
Si tienes dificultades con esto, podría ser más fácil involucrar a un desarrollador web durante una o dos horas para solucionar cualquier error de recursos inseguros y asegurarte de que todo funcione como debería.
Sello SSL de WooCommerce
Un sello SSL es una pequeña imagen de verificación que puedes mostrar en tu tienda para que la gente sepa que tu tienda es segura.
¿Necesitas uno? Si bien no es necesario tener un sello SSL especial de WooCommerce, es posible que desees considerar incluir al menos algunos indicadores básicos de que tu tienda es segura.
Añadir información visual, especialmente a la pantalla de pago, que indique que tu tienda es segura puede aumentar drásticamente la confianza percibida de tu tienda a los ojos de tus clientes y tener un efecto positivo en las ventas.
Se puede añadir un sello SSL al pie de página de tu sitio, o solo en la página de pago. También puedes añadir más elementos visuales como iconos de pago, pequeños iconos de candado y otros detalles no relacionados con la seguridad como tu número de teléfono y dirección postal. Todo esto añade legitimidad a tu tienda.
Espero que este artículo te haya convencido de explorar la adición de SSL a tu tienda WooCommerce. Si pasaste por el proceso y aseguraste tu tienda, ¡cuéntanos en los comentarios! Nos encantaría saber cómo mejoró tus ventas o generó más confianza con tus clientes.
¡Buen post!
Gracias. Buen artículo. Hoy en día todos los sitios web de WooCommerce deberían usar SSL.
¡Gracias Sergeo! ¡100% de acuerdo! :)
Actualizado en octubre de 2018, después de que SSL dejara de ser un protocolo válido para asegurar un sitio para pagos. ¿No debería TLS 1.1 o superior ser ahora el estándar y deberías alejar a los clientes de SSL?
Las vulnerabilidades de seguridad en SSL, conocidas desde hace años, son asombrosas. ¿Aún así el artículo lo sigue promocionando como adecuado para el cumplimiento de PCI? Un sitio que lo use no pasaría una evaluación, especialmente después del 30 de junio de 2018, cuando ya no es un protocolo de seguridad viable.
Con SSL implementado todavía existe la posibilidad de un ataque MIM e incluso si ese enlace de woocommerce lleva al consumidor fuera del sitio web, podría ser modificado para llevar al consumidor a una página casi idéntica que capture los datos de la tarjeta. mientras que si se implementa TLS 1.1 o superior, se reduciría la posibilidad de que alguien lo haga.
¿Tu opinión?
Hola James,
Tienes razón, SSL fue sustituido por TLS. Sin embargo, uso la palabra SSL aquí en el contexto de "certificados". Los certificados y los protocolos son cosas diferentes, así que solo intento simplificar usando un lenguaje común. Los certificados para SSL/TLS son comúnmente referidos por los dueños de tiendas como certificados SSL, de ahí el porqué. Pero sí, técnicamente tienes toda la razón :)
¡Hola Josh, gran post! Este post definitivamente ayudará en la implementación de SSL. ¡Siteground es sin duda la mejor sugerencia aquí!