Con HTTP los datos viajan sin cifrar: cualquiera en la misma red podría interceptar contraseñas o datos sensibles. HTTPS cifra la conexión (TLS/SSL) para que solo el servidor y el cliente lean el contenido. Además, los navegadores muestran un candado y «Seguro»; sin HTTPS pueden mostrar «No seguro». Google favorece HTTPS en el posicionamiento, y muchas APIs modernas solo funcionan en contextos seguros.

Para tener HTTPS el servidor necesita un certificado digital. Antes eran de pago; Let's Encrypt ofrece certificados gratis y automatizables. Caducan a los 90 días, por lo que se suele usar un cliente (Certbot) o la herramienta del hosting para renovarlos automáticamente. Netlify, Vercel y GitHub Pages incluyen certificado y renovación; en hosting compartido o VPS sueles activar Let's Encrypt desde el panel (cPanel, Plesk) o con Certbot.

Configura el servidor para que las peticiones a http://midominio.com redirijan a https://midominio.com (código 301). Así todo el tráfico usa HTTPS. Otras prácticas: mantener el software (CMS, plugins, servidor) actualizado; hacer copias de seguridad antes de cambios grandes; usar variables de entorno para secretos (no subir .env con claves a Git); y revisar los permisos de archivos y la configuración del servidor para evitar listados de directorios o archivos sensibles expuestos.