WordPress muestra contenido no seguro (candado roto) tras activar HTTPS

Que el navegador muestre el candado tachado o un aviso de "contenido no seguro" en una web con HTTPS activado significa que la página principal carga por https, pero algún recurso dentro de ella (una imagen, un script, una hoja de estilos) sigue cargando por http.

Por qué pasa esto en WordPress

Igual que ocurre con los enlaces internos, muchas URL quedan guardadas literalmente con http:// dentro del contenido, de widgets o de opciones de temas y plugins, de cuando el sitio todavía no tenía HTTPS. Activar HTTPS en Ajustes no reescribe esas URL ya guardadas.

Cómo encontrar el recurso concreto

1. Abre las herramientas de desarrollador del navegador (F12) → pestaña Consola. Ahí aparece exactamente qué recurso se bloqueó por no ser seguro, con su URL completa.
2. Si son varias imágenes antiguas dentro del contenido de entradas, un reemplazo de http://tudominio.es por https://tudominio.es en la base de datos (con una herramienta que entienda datos serializados, no un editor SQL directo) suele resolver la mayoría de los casos de golpe.
3. Si el aviso viene de un script o una fuente externa de un plugin o tema, revisa sus opciones de configuración: muchos permiten fijar manualmente si usar http o https.

Después de corregirlo

Recarga forzando el navegador a ignorar caché y comprueba de nuevo la consola; si el aviso desaparece pero el candado sigue sin verde, puede quedar caché de CDN o de un plugin de rendimiento sirviendo todavía la versión antigua de la página.