Cómo forzar redirección HTTPS del puerto 80 al 443 en Nginx

Cuando un servidor web acepta conexiones en HTTP (puerto 80) y HTTPS (puerto 443) simultáneamente, el tráfico no cifrado sigue siendo viable — cualquier cliente que escriba el dominio sin prefijo, haga clic en un enlace antiguo o siga un marcador http:// va a llegar al puerto 80 y transmitir credenciales en texto plano. La corrección es forzar una redirección permanente 301 del puerto 80 al puerto 443 en Nginx, garantizando que toda solicitud sea terminada en TLS.

Este tutorial muestra la configuración correcta de redirección HTTP → HTTPS en Nginx, incluyendo el manejo del desafío http-01 de Let’s Encrypt (que necesita HTTP puro para validar), activación progresiva de HSTS y validación de la configuración antes del reload. Se aplica a Nginx 1.18+ en cualquier distribución Linux (Ubuntu, Debian, Rocky, Alma).

Tiempo de ejecución: cerca de 10 minutos, incluyendo pruebas. Persona objetivo: developer o sysadmin con Nginx ya configurado sirviendo el sitio en ambos puertos, que necesita consolidar todo en HTTPS sin romper la renovación de certificado.

Prerrequisitos

Antes de tocar Nginx, haz un backup de la configuración actual. Un error de sintaxis en un server block deja el servicio sin levantar hasta que lo corrijas, y tocar producción sin red de seguridad es invitación al downtime.

sudo cp -r /etc/nginx /etc/nginx.bak.$(date +%Y%m%d)

El comando duplica todo el directorio con timestamp — si algo sale mal, basta con revertir con sudo rm -rf /etc/nginx && sudo mv /etc/nginx.bak.YYYYMMDD /etc/nginx.

Estructura recomendada: dos server blocks

El enfoque correcto separa la redirección HTTP en un server block propio, dejando el HTTPS en un segundo block. Esto evita la lógica condicional (if ($scheme = http)) que el autor de Nginx desaconseja explícitamente — el if dentro de location en Nginx tiene comportamiento contraintuitivo e históricamente fue fuente de bugs.

sudo nano /etc/nginx/sites-available/tudominio.com

# Server block HTTP — redirect 301 a HTTPS
server {
    listen 80;
    listen [::]:80;
    server_name tudominio.com www.tudominio.com;

    # Mantiene el desafío de Let's Encrypt funcionando
    location ^~ /.well-known/acme-challenge/ {
        root /var/www/letsencrypt;
        default_type "text/plain";
        allow all;
    }

    # Redirect catch-all a HTTPS
    location / {
        return 301 https://$host$request_uri;
    }
}

# Server block HTTPS — termina TLS y sirve el sitio
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name tudominio.com www.tudominio.com;

    ssl_certificate /etc/letsencrypt/live/tudominio.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/tudominio.com/privkey.pem;

    # HSTS — empieza con 300s, sube después de validar
    add_header Strict-Transport-Security "max-age=300" always;

    root /var/www/tudominio.com;
    index index.html index.php;

    location / {
        try_files $uri $uri/ =404;
    }
}

sudo mkdir -p /var/www/letsencrypt/.well-known/acme-challenge
sudo chown -R www-data:www-data /var/www/letsencrypt
sudo chmod -R 755 /var/www/letsencrypt

sudo nginx -t

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

sudo systemctl reload nginx

Verificación

Confirma que la redirección está activa probando vía curl sin abrir el navegador (la caché del navegador puede enmascarar problemas):

curl -I http://tudominio.com

La respuesta debe mostrar:

HTTP/1.1 301 Moved Permanently
Server: nginx
Location: https://tudominio.com/

Para confirmar que el destino HTTPS responde correctamente, usa -L para seguir la redirección:

curl -IL http://tudominio.com

Verás dos respuestas: primero el 301 de Nginx, después el 200 OK del HTTPS. Si la segunda es 502, 503 u otro error, el problema no es la redirección — es el backend HTTPS.

Prueba también que el desafío ACME sigue accesible en HTTP:

sudo mkdir -p /var/www/letsencrypt/.well-known/acme-challenge
echo "prueba-ok" | sudo tee /var/www/letsencrypt/.well-known/acme-challenge/prueba
curl http://tudominio.com/.well-known/acme-challenge/prueba

La respuesta debe ser prueba-ok en texto puro — no una redirección 301. Si viene una redirección, el orden de los location está equivocado.

Resolución de problemas

Loop de redirección infinito

Síntoma: el navegador muestra el error “ERR_TOO_MANY_REDIRECTS”. Causa común: la aplicación detrás de Nginx (PHP, Node) detecta $_SERVER['HTTPS'] como vacío y redirige a HTTPS de nuevo, pero Nginx ya redirigió — ciclo infinito.

Solución: asegúrate que el server block HTTPS pase el header correcto al upstream:

proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

La aplicación debe confiar en ese header en vez de inspeccionar $_SERVER['HTTPS'] directamente.

HSTS atascado en HTTPS roto

Por eso la plantilla empieza con max-age=300. Después de una semana validando que todo funciona, sube a max-age=31536000; includeSubDomains — ese es el valor para producción estabilizada.

Renovación de Let’s Encrypt falla con 301

Síntoma: certbot renew retorna el error “Failed authorization procedure” después de activar la redirección. Causa: la directiva location ^~ /.well-known/acme-challenge/ está debajo del location / en el archivo, entonces el catch-all redirige primero.

El modificador ^~ en la plantilla tiene prioridad sobre location /, pero si editaste y perdiste el ^~, el orden importa. Garantiza que el location del ACME aparezca antes del catch-all O usa ^~ que da prioridad independientemente del orden.

Próximos pasos

Con HTTPS forzado y validación confirmada, profundiza en la seguridad y performance del servidor:

• Hardening TLS: ajusta ssl_protocols TLSv1.2 TLSv1.3 y ssl_ciphers para remover suites legadas — usa el generador de Mozilla SSL Config como base.
• OCSP Stapling: activa ssl_stapling on para reducir la latencia de validación de certificado en la primera solicitud.
• HSTS preload: después de 1 año con max-age=31536000; includeSubDomains; preload, envía el dominio en hstspreload.org para entrar en la lista de los navegadores.
• HTTP/3: Nginx 1.25+ soporta QUIC nativo — vale activarlo para clientes con latencia alta.
• Logs separados: configura un access_log específico del server block HTTPS para facilitar el análisis de tráfico.

Si estás ejecutando esta config en producción, una VPS Hostini ya viene con Ubuntu/Debian optimizado y SSH endurecido — buena base para levantar Nginx con TLS sin tunear el kernel manualmente.