Tema 11 · Seguridad SSL & HTTPS

Certificados SSL HTTPS Gratuitos con Let’s Encrypt y Redirección Forzada

Aprende a proteger tus aplicaciones con el candado verde de HTTPS mediante certificados Let’s Encrypt autogestionados y fuerza la redirección segura.

Despliegue de APIs y Aplicaciones en Node.js (Express) y Python (Flask) Vinculación de Dominios Propios y Configuración de Registros DNS

¿Por qué HTTPS es Innegociable en Backend?

Cuando construyes un sistema de login o una API que transmite tokens JWT y contraseñas, hacerlo a través de HTTP sin cifrar (puerto 80) significa que cualquiera en la misma red Wi-Fi puede capturar esos datos con herramientas como Wireshark.

El protocolo HTTPS (puerto 443) utiliza cifrado TLS (Transport Layer Security) para crear un túnel seguro e inviolable entre el navegador (o Postman) y tu servidor Alwaysdata.

Certificados Let's Encrypt Autogestionados

En el menú Web ➔ SSL/TLS de Alwaysdata, verás que tu subdominio gratuito tu_cuenta.alwaysdata.net cuenta con un certificado SSL emitido por la autoridad global Let's Encrypt.

  • 100% Gratuito: Viene incluido en el plan Free de por vida.
  • Renovación Automática: Los certificados de Let's Encrypt caducan cada 90 días, pero Alwaysdata los renueva automáticamente en segundo plano sin que tengas que hacer nada.

Cómo Forzar a Todos los Visitantes a Entrar por HTTPS

Para evitar que alguien entre por la versión insegura (http://), activa la redirección obligatoria:

  1. En el panel de Alwaysdata, dirígete a Web ➔ Sites.
  2. Haz clic en el icono del lápiz (Edit) de tu sitio.
  3. Marca la casilla "Force HTTPS redirect" (Forzar redirección HTTPS).
  4. Haz clic en Submit para guardar.
A partir de ese momento, cualquier usuario o cliente de API que intente acceder por http:// recibirá una respuesta 301 Moved Permanently que lo redirige al instante a la versión cifrada con https://.

⚡ Redirección Forzada a HTTPS Mediante .htaccess (Alternativa Apache)

Si prefieres controlar la redirección desde el archivo de configuración de tu proyecto:

forzar-https.htaccess
Solo lectura 
# ========================================================
# FORZADO DE HTTPS Y CABECERAS DE SEGURIDAD EN ALWAYSDATA
# ========================================================

<IfModule mod_rewrite.c>
  RewriteEngine On

  # Si la petición no llegó por HTTPS, redirigir con código 301 permanente
  RewriteCond %{HTTPS} off
  RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

# Cabecera de Seguridad HSTS (Strict-Transport-Security)
# Indica a los navegadores recordar ingresar siempre por HTTPS
<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
</IfModule>
🧠
Mini-Quiz de Retención
Comprueba tu comprensión antes de pasar a la siguiente lección
1 Pregunta
Pregunta 1
¿Qué sucede cuando marcas la casilla "Force HTTPS redirect" en Web > Sites en Alwaysdata?
🦉
¿Tienes dudas con este tema?
Sócrates AI puede darte analogías y explicarte este código paso a paso.

🚀 ¿Quieres dominar Manual de Alwaysdata: Cloud Hosting & Despliegue Backend y crear proyectos reales?

Aprende arquitectura limpia, desarrollo web moderno, buenas prácticas y despliegue en producción con nuestro Bootcamp Fullstack Developer con mentorías en vivo.

Conocer el Bootcamp

🏛️ Autoría y Propiedad Intelectual: Obra educativa original de David Amador para Kilopolis Academia (Solucionáticos), estructurada sobre las especificaciones y estándares abiertos del W3C, el estándar vivo de WHATWG y la documentación oficial de código abierto. © Todos los derechos reservados.