¿Qué es HTTPS? Lo que te dice el candado y lo que no

Recurso complementario de la lección “HTTPS: un pilar de la seguridad en línea” — curso Privacidad online

¿Qué es HTTPS? Es la tecnología que sella lo que envías a una web para que quienes comparten tu red no puedan leerlo por el camino. Este recurso explica qué protege ese sello, qué deja a la vista y por qué el candado te dice cómo viajan tus datos, pero no quién los recibe ni qué hará con ellos.

A. Por qué importa

El candado junto a la dirección de una página es una señal de seguridad que seguramente conoces. Sigue siendo útil: en una página sin HTTPS, lo que escribes en un formulario puede quedar al alcance de otras personas conectadas a la misma red.

Pero el candado responde a una sola pregunta: ¿está sellada esta conexión? No dice quién está al otro lado, quién puede ver que visitas esa web ni qué va a recoger la propia web.

En este curso, privacidad significa saber qué se sabe de ti, quién lo sabe y qué decides dejar que sepan. Entender qué es HTTPS ayuda en un punto concreto: cambia el «quién» para la red, no para la web con la que hablas.

Lo que dicen las fuentes

INCIBE, el Instituto Nacional de Ciberseguridad, explica en su artículo «Cómo navegar por Internet de manera segura» (27/05/2026) que «los protocolos web seguros, como “HTTPS”, cifran la información que se transmite entre el navegador y el servidor». Añade que los certificados digitales, que permiten verificar la identidad de una web, aportan fiabilidad, pero que la presencia de estos elementos «no es una garantía absoluta».

En otro artículo (18/09/2023), INCIBE recuerda que «https» no garantiza que una web sea segura, porque quienes atacan también pueden obtener certificados. Aconseja revisar la dirección completa y confirmar que la web es la oficial a través de un buscador o de un canal oficial.

La Policía Nacional, en sus pautas para compras seguras (Ministerio del Interior, 24/11/2022), incluye entre las comprobaciones la de que la dirección «comience por https y tenga un candado en la barra de direcciones». Pero no se queda ahí: pide fijarse en cómo está escrita la dirección, porque hay quien registra dominios muy parecidos a los reales, y no entrar desde enlaces de blogs o anuncios.

B. Conceptos clave

Cinco ideas que te ayudan a leer el candado por lo que es.

HTTPS

HTTPS es la versión cifrada de HTTP, la forma en que tu navegador y una web se intercambian páginas. Cifrar es convertir el contenido en un código ilegible para que solo tu navegador y la web puedan leerlo. La Electronic Frontier Foundation (EFF), una organización de defensa de los derechos digitales, lo llama cifrado en la capa de transporte («transport-layer encryption», en inglés): protege los datos mientras viajan. Si te preguntas qué es HTTPS en la práctica, es esa protección del trayecto.

Por qué te importa: Una contraseña o el número de una tarjeta escritos en una página con HTTPS no pueden ser leídos por el camino por alguien que comparta contigo el wifi de una cafetería. Es una protección real, y por eso una página sin HTTPS no es el lugar para datos personales.

Lo que dice el candado y lo que no

El candado, o el icono que tu navegador muestre junto a la dirección, dice una sola cosa: la conexión con esta dirección está cifrada. La ayuda de Google Chrome lo expresa así: «La información que envíes o recibas mediante el sitio es privada entre tú y el sitio». La misma página añade: «Incluso cuando te conectas a un sitio de forma segura, ten cuidado al compartir información personal o sensible». La EFF añade que usar HTTPS no significa que un servicio proteja del todo la privacidad de quienes lo usan.

Por qué te importa: El candado describe el sobre, no a la persona que lo abre. Una tienda falsa puede tener una conexión perfectamente sellada que entregue los datos de tu tarjeta a quien la gestiona.

La dirección escrita en el sobre

HTTPS sella el contenido, no la dirección. Según la EFF, oculta qué página concreta abres, todo lo que va después de la primera barra: si abres una página de su guía, quien observa la conexión solo ve el dominio «ssd.eff.org». Cifrar los datos en tránsito, añade, no cifra los metadatos, es decir, la información sobre la comunicación, como cuándo se produce o cuánto dura.

Quién puede leer esa dirección depende de dónde estés: en el wifi de un local podría ser quien gestiona la red; en casa, tu proveedor de internet. Otros recursos de esta sección explican qué cambia con una red pública, una VPN o tu proveedor.

Por qué te importa: Un nombre y una hora pueden decir mucho. Una red podría anotar que abriste la web de un hospital a las dos de la madrugada, aunque la página sobre una dolencia concreta y lo que escribiste siguieran sellados.

El otro extremo del sobre

Cuando tus datos llegan, la web puede leer lo que le has enviado. Según la EFF, los servidores de una web con HTTPS ven los datos que introduces, y esa web puede usar cookies de seguimiento (pequeños archivos que guarda en tu navegador) o alojar malware, es decir, software malicioso.

Por qué te importa: HTTPS no dice si una web comparte tus datos, durante cuánto tiempo los guarda o si te sigue con cookies. Para eso están su política de privacidad y las opciones de cookies.

Modo solo HTTPS

Es un ajuste del navegador que intenta abrir cada web con HTTPS y te avisa antes de cargar una página que no lo admite. Mozilla lo llama «modo de solo HTTPS» en Firefox y explica que «fuerza a todas las conexiones a sitios web a utilizar una conexión segura»; si una web no la ofrece, Firefox muestra un aviso titulado «Sitio seguro no disponible». En Chrome, la ayuda de Google lo llama «Usar siempre conexiones seguras». Google anunció el 28/10/2025 (en inglés) que, con Chrome 154, prevista para octubre de 2026 (conviene comprobar si ya ha llegado), activará esa opción por defecto: Chrome pedirá permiso antes del primer acceso a una web pública sin HTTPS. Si tienes el navegador actualizado, podrías encontrarla ya activa.

Por qué te importa: La primera comprobación la hace el navegador, y tú solo te detienes cuando te lo pide.

C. Un ejemplo concreto: Lucía y el robot de cocina a mitad de precio

Lucía tiene 48 años, vive en Valencia, es madre y usa servicios en línea a diario. Una noche, desde la tableta, ve el anuncio del robot de cocina que llevaba tiempo queriendo, a la mitad del precio habitual. La página parece profesional y en la barra de direcciones aparece el candado.

«Bueno, es segura», piensa, y rellena su nombre, su dirección y su teléfono. Se detiene en la página de pago solo porque el precio le parece demasiado bueno, y decide volver a mirarlo por la mañana.

Qué cambió cuando Lucía volvió a leer el candado

Al día siguiente repasa la noche:

• ¿Quién estaba al otro lado? Mira la dirección. No es el nombre de la tienda que conoce, sino uno más largo, con una palabra de más. El candado había sido sincero: sus datos habían viajado sellados. Solo que habían llegado a alguien a quien no conocía.
• ¿Qué había dado ya? Nombre, dirección y teléfono. No introdujo datos de la tarjeta. Decide no confirmar nada a quien se ponga en contacto con ella a propósito de su «pedido». Si le queda alguna duda, sabe que INCIBE ofrece la Línea de Ayuda en Ciberseguridad, el 017.
• ¿Cómo llegar a la tienda de verdad? Escribe ella misma la dirección oficial y encuentra el robot al precio de siempre.
• ¿Qué puede configurar ya? Activa el modo solo HTTPS en su navegador, para que una página sin cifrado se detenga antes de que escriba nada.

Cuando consulta el banco desde el wifi de una cafetería, HTTPS mantiene ilegibles sus credenciales, pero la red del local puede ver igualmente que visita la web del banco. Sigue yendo a la cafetería; para el banco, usa los datos del móvil.

El candado no había mentido. Lucía le había hecho una pregunta para la que no estaba pensado.

D. Pruébalo tú: lee el candado en tres webs (15 minutos)

Cuatro pasos breves, con tu navegador habitual y tres webs que uses: por ejemplo, el correo, una tienda y un periódico. Nada de lo que encuentres significa que hayas hecho algo mal.

Paso 1 — Abre la información de la web (4 minutos)

• En cada una de las tres webs, pulsa el candado o el icono que aparece a la izquierda de la dirección. El aspecto del icono cambia según el navegador y la versión.
• Lee qué dice el panel sobre la conexión. Según la ayuda de Google Chrome, indica si la información que envías es privada entre tú y la web o si la conexión presenta errores.
• Apunta el nombre de la web tal como aparece en la barra de direcciones.

Paso 2 — Hazte las tres preguntas (5 minutos)

Para cada web, apunta una respuesta breve a cada pregunta:

• ¿El sobre está sellado? ¿Dice el navegador que la conexión es segura?
• ¿Quién está al otro lado? ¿El nombre de la barra de direcciones es el que esperabas, letra por letra?
• ¿Qué recoge la propia web? Busca sus opciones de cookies o su política de privacidad, normalmente enlazadas al pie de la página. Encuentra una cosa que diga que recoge.

Paso 3 — Activa el modo solo HTTPS (3 minutos)

• En Firefox, normalmente en Ajustes › Privacidad y seguridad; la página de ayuda de Mozilla detalla la ruta hasta el modo de solo HTTPS, y parte de las etiquetas puede aparecer en inglés.
• En Chrome para ordenador, la ayuda de Google sitúa «Usar siempre conexiones seguras» en Más › Configuración › Privacidad y seguridad › Seguridad. En el móvil, busca ese nombre en el buscador de los ajustes; la ruta cambia según la versión.
• En otros navegadores, busca «HTTPS» en el buscador de los ajustes. Si ya aparece activado, no tienes que hacer nada más.

Paso 4 — Escribe tu regla de pausa (3 minutos)

Escribe una frase para la próxima vez que una oferta te parezca demasiado buena. Por ejemplo: «El candado me dice que el sobre está cerrado. Antes de escribir, miro de quién es el nombre que lleva».

Guárdala en las notas del móvil: una frase fácil de recordar se aplica mejor que una lista larga.

Ya tratado en el curso Seguridad en línea

Cómo reconocer el phishing hecho para convencer
Explica por qué las páginas falsas pueden parecer idénticas a las verdaderas y qué hábitos te protegen, como entrar a los servicios importantes desde un marcador o desde la app oficial.

E. Vídeos, artículos y otros recursos

Primero las fuentes institucionales españolas, después la documentación de los navegadores y una guía sobre derechos digitales; parte de ellas, en inglés.

Fuentes institucionales españolas

INCIBE — Cómo navegar por Internet de manera segura
Qué cifra HTTPS entre el navegador y el servidor y por qué los certificados no son una garantía absoluta (27/05/2026).
https://www.incibe.es/ciudadania/blog/como-navegar-por-internet-de-manera-segura

INCIBE — Qué hacer si el navegador nos dice que estamos intentando acceder a un sitio no seguro
Por qué «https» no basta y cómo comprobar la dirección y la legitimidad de una web (18/09/2023).
https://www.incibe.es/ciudadania/blog/que-hacer-si-el-navegador-nos-dice-que-estamos-intentando-acceder-un-sitio-no

Ministerio del Interior (Policía Nacional) — La Policía Nacional recuerda pautas para que este Black Friday no se convierta en un «Black Fraude»
Comprobar https y candado, y también la escritura de la dirección y la vía de entrada a la tienda (24/11/2022).
https://www.interior.gob.es/opencms/eu/detalle/articulo/La-Policia-Nacional-recuerda-pautas-para-que-este-Black-Friday-no-se-convierta-en-un-Black-Fraude/

Documentación de los navegadores

Mozilla — Modo de solo HTTPS (Ayuda de Firefox)
Qué hace el modo y dónde se activa.
https://support.mozilla.org/es/kb/modo-de-solo-https

Google Chrome Ayuda — Cómo comprobar si la conexión de un sitio es segura (Android)
Qué indica el icono junto a la dirección y por qué conviene seguir con cuidado.
https://support.google.com/chrome/answer/95617?hl=es-419

Google Chrome Ayuda — Cómo administrar la seguridad de Chrome
Dónde está la opción «Usar siempre conexiones seguras» en Chrome para ordenador.
https://support.google.com/chrome/answer/10468685?hl=es&co=GENIE.Platform%3DDesktop

Google — HTTPS by default
El anuncio del 28/10/2025 sobre la activación por defecto de «Always Use Secure Connections» en Chrome. En inglés.
https://blog.google/security/https-by-defau/

Guía sobre derechos digitales (en inglés)

Electronic Frontier Foundation — What Should I Know About Encryption?
Qué oculta HTTPS a la red, qué deja visible y por qué no garantiza que una web respete tu privacidad. En inglés.
https://ssd.eff.org/module/what-should-i-know-about-encryption

Enlaces comprobados en octubre de 2026. Si una dirección cambia, buscar el título en el sitio del organismo suele ayudar a encontrarla.

F. El Framework Cyber Welfare: Competencias, Conciencia, Comportamiento Seguro

Este recurso se apoya en el pilar Conciencia, en el nivel FL1 – Base: entender qué significa de verdad una señal que ya conoces antes de fiarte de ella.

Competencias

• Abrir el panel de información de una web y leer qué dice sobre la conexión.
• Comprobar el nombre de la web en la barra de direcciones, letra por letra.
• Activar el modo solo HTTPS en tu navegador.

Conciencia

• Entender que HTTPS protege el contenido durante el viaje, no a quien lo recibe.
• Saber que la red puede ver qué web visitas, aunque no vea lo que haces en ella.
• Reconocer que el candado no dice nada sobre cómo usa una web tus datos.

Comportamiento Seguro

• Escribir datos personales solo en páginas con conexión cifrada.
• No saltarte los avisos de seguridad en páginas donde vayas a compartir datos personales.
• Llegar a tiendas y bancos con una dirección que hayas escrito o guardado, no desde un anuncio ni desde un mensaje.

G. Preguntas para detenerte a pensar

• Cuando ves un candado, ¿qué has dado por hecho que te promete?
• ¿Qué webs preferirías que una red no supiera que visitas, y cambia eso dónde las abres?
• De la web que más usas, ¿sabes qué hace con lo que escribes una vez que llega?

H. Qué hacer ahora

Las recomendaciones (R) y las medidas de seguridad (MS) de la base de datos de Cyber Welfare que se aplican con más claridad a este tema.

1. Una conexión protegida

• R9 — Conectarse solo con HTTPS: el sobre cerrado de la web: introduce datos personales o credenciales solo en conexiones cifradas, activa el modo solo HTTPS del navegador y no te saltes los avisos sobre certificados.
• MS5 — Usa un navegador atento a la privacidad, como Firefox o Brave: HTTPS no impide que una web te siga, así que también cuenta el navegador que eliges.

Compromiso mínimo: hoy mismo, activa el modo solo HTTPS, o «Usar siempre conexiones seguras», en el navegador que más uses.

2. La persona adecuada al otro lado

• R16 — Desconfía de los correos que se hacen pasar por el banco: al banco se entra por la puerta que conoces: trátalos como un aviso que hay que comprobar y llega al banco desde un marcador, la app oficial o una dirección que escribas tú. El candado de la página a la que llegas no dice quién te ha enviado hasta allí.

Compromiso mínimo: guarda en favoritos tu banco y tu tienda en línea habitual, y úsalos en lugar de los enlaces de mensajes o anuncios.

En breve

• ¿Qué es HTTPS? Un sobre cerrado para tus datos durante el viaje entre tu navegador y una web.
• El candado indica que la conexión está cifrada. No indica que la web sea auténtica, honesta o respetuosa con tu privacidad.
• Incluso con HTTPS, la red que usas puede ver qué web visitas, aunque no lo que haces en ella.
• El modo solo HTTPS hace que el navegador haga la primera comprobación; mirar de quién es el nombre que lleva el sobre sigue siendo cosa tuya.

Descubre más recursos complementarios de los cursos en línea del Programa Protege tu Privacidad Digital.