Esto es lo que hemos medido en calsilvinorestaurant.com.

Los motores de IA usan rastreadores propios (GPTBot de OpenAI, ClaudeBot de Anthropic, PerplexityBot, Google-Extended, CCBot…). El archivo robots.txt puede permitirles o bloquearles el acceso.

Un certificado SSL válido es requisito para que el navegador muestre la conexión como segura. Si caduca, el navegador bloquea el acceso con una pantalla de advertencia.

No basta con que el certificado SSL esté en fechas: tiene que estar emitido por una autoridad reconocida y para el dominio correcto. Un certificado autofirmado, con la cadena incompleta o emitido para otro dominio hace que el navegador muestre una advertencia de seguridad a plena página en lugar de la web.

Si ambas versiones funcionan sin redirección entre ellas, Google las trata como páginas duplicadas y los usuarios pueden llegar por caminos diferentes.

Cuando una página HTTPS carga recursos por HTTP, los navegadores pueden bloquearlos o mostrar advertencias de seguridad.

TLS es el candado de la conexión, y tiene versiones. Las antiguas (1.0 y 1.1) se retiraron en 2021 porque se les encontraron fallos; los navegadores actuales ya no las usan. Un servidor puede seguir aceptándolas aunque nadie las pida.

Mucha gente escribe la dirección sin «https» o llega desde un enlace antiguo. Lo correcto es que el servidor la mande a la versión cifrada de inmediato, en un solo paso.

Se prueban las variantes de tu marca con una letra cambiada por otra ADYACENTE en el teclado, que es el error real de quien escribe deprisa.

Se comprueba si tu nombre exacto está registrado en las extensiones genéricas: .com, .net, .org y .biz.

Si la web usa cookies no esenciales debe mostrar un aviso que permita aceptarlas o rechazarlas antes de instalarlas. Se detecta la presencia de un gestor de consentimiento (CMP) conocido.

Al cargar la página sin aceptar nada se comprueba si ya se contacta con servicios de rastreo o analítica de terceros (Google, Meta, TikTok…). El RGPD/ePrivacy exige el consentimiento PREVIO a cualquier seguimiento.

Cookies de rastreo o publicidad, identificables por su nombre (_ga de Google Analytics, _fbp de Meta…, aunque se instalen bajo el dominio propio), que la web planta nada más entrar, sin que la persona haya aceptado. Las cookies estrictamente necesarias están permitidas sin consentimiento; las de rastreo nunca lo están.

Se busca el sitemap donde lo buscaría un buscador: declarado en el `robots.txt` y en las rutas habituales. Se comprueba que exista y que su formato XML sea válido; NO se comprueba si están todas tus páginas.

El SPF es la lista de servidores autorizados a enviar correo en nombre de tu dominio. Se publica en el DNS y la consultan los sistemas que reciben tus mensajes.

El DMARC es la instrucción de qué hacer con el correo que dice venir de ti pero no supera las comprobaciones: dejarlo pasar, mandarlo a spam o rechazarlo. Sin él, cada sistema decide por su cuenta.

Se detectan formularios, teléfonos pulsables, correos, WhatsApp y herramientas de reserva o chat. SOLO se detectan: no se rellenan ni se envían.

Se comprueba la etiqueta viewport del HTML: sin ella, el móvil finge ser un escritorio y encoge la página.

Se mide el ancho real del contenido con la pantalla de un móvil (375 px).

Misma medida con el ancho de una tableta (768 px).

Se cuentan las imágenes que no llevan atributo de texto alternativo. Las marcadas como decorativas —con el atributo vacío a propósito— no cuentan: es la forma correcta de declararlas.

Algunos botones son una imagen en sí mismos —un «buscar» dibujado, un «enviar» con forma de flecha—. Necesitan su propio texto alternativo, que hace de nombre del botón.

Cada enlace debe tener un texto o nombre accesible que describa su destino; los enlaces vacíos o solo con un icono son ininteligibles para un lector de pantalla.

Se comprueban los botones de la página, incluidos los que solo llevan un icono. Cada uno debe tener un nombre, aunque no se muestre en pantalla.

Un marco incrustado es una página metida dentro de otra: un mapa, un vídeo, un formulario externo. Cada uno debe llevar un título que diga qué contiene.

Palabras del cuerpo de la página, sin contar el menú, la cabecera ni el pie. Es una medida de cantidad, no de calidad: solo detecta escasez extrema.

La mayoría de rastreadores de IA no ejecutan JavaScript: solo leen el HTML que devuelve el servidor. Si el contenido se genera en el navegador (SPA), para ellos la página llega casi vacía. Referencia: al menos 500 caracteres de texto en el HTML inicial.

Se detectan las tres formas de escribir esta ficha: JSON-LD (la recomendada), Microdata y RDFa. Es una evidencia de CONTEXTO: no todas las páginas necesitan una, así que su ausencia no se penaliza.

La ficha se escribe en un formato con reglas estrictas. Si tiene un error de escritura —una coma de más, una comilla sin cerrar— el buscador la descarta entera.

Cada bloque declara QUÉ describe: una organización, un producto, un artículo. Se comprueba contra los tipos de uso más habitual; que uno sea poco frecuente no lo hace incorrecto, pero conviene confirmar que es el que querías.

El valor de la canonical tiene que ser una dirección utilizable. Una mal formada no la interpreta nadie y equivale a no tenerla.

Una página debe declarar una sola canonical. Cuando hay varias —normalmente porque las pone el tema y además un plugin— Google se encuentra con instrucciones repetidas.

El tag canonical indica a Google cuál es la versión oficial de una página cuando existen varias URLs con contenido similar o idéntico.

Diferencias aparentemente menores (trailing slash, www, protocolo, parámetros) hacen que Google trate las URLs como páginas distintas.

El H1 es el titular de la página. Un H1 que existe pero no tiene texto —porque solo contiene un logotipo o una imagen— no le dice nada al buscador.

Los encabezados forman el índice de la página: H1 el titular, H2 las secciones, H3 los apartados. Saltarse niveles rompe ese índice.

Un encabezado sin texto suele ser un contenedor usado para maquetar —un icono, una imagen decorativa— y no aporta nada al índice de la página.

El estándar SEO es que cada página tenga exactamente un H1 que defina su tema principal. Cero o más de uno confunde a Google sobre cuál es el contenido central.

Se comprueba si la página señala cuál es su contenido principal, la parte que no es cabecera, menú ni pie. Comprueba que exista; no detecta si hay más de una.

Una lista tiene que estar construida como tal para que el lector de pantalla anuncie cuántos elementos tiene y por cuál va. Aquí se comprueba que sus piezas estén bien anidadas.

Cada campo de un formulario —casillas, desplegables y áreas de texto— necesita un nombre que los lectores de pantalla puedan anunciar, ya venga de una etiqueta visible o de una marca interna.

Proporción de contenedores con significado (header, nav, main, section, article, aside, footer, figure…) sobre el total de contenedores de la página.

Se comprueba el icono declarado por la web y, si no declara ninguno, la ruta convencional /favicon.ico.

Se comprueba la etiqueta og:image, que es la que usan WhatsApp, LinkedIn, Facebook y la mayoría al compartir un enlace.

Se comprueba la etiqueta twitter:image, que X usa para la tarjeta del enlace.

Cuando algo falla, el servidor puede mostrar el error al visitante en vez de guardarlo en su registro. Esos mensajes suelen incluir la ruta de los archivos, la versión del lenguaje y a veces fragmentos de configuración.

Se lee la lista que usa el gestor de etiquetas y se comprueba que sus entradas sean objetos, que es lo único que el gestor sabe leer.

Se comprueban los destinos enlazados desde la página. Un destino que responde con un bloqueo (401, 403, 429) NO cuenta como roto: puede ser su protección anti-bots.

Se intenta resolver cada dirección enlazada con el analizador estándar de URL.

Para los enlaces que llevan a una sección de la propia página, se comprueba que la sección exista en la página ya renderizada.

Se compara la proporción real de cada archivo de imagen con la proporción con la que se muestra.

Tras terminar la carga se comprueba que cada imagen visible tenga su archivo. Una imagen aún cargando no se juzga.

Se comprueban las hojas de estilo que pide la página. Un 401, 403 o 429 no cuenta como fallo: puede ser una protección o nuestro propio ritmo de peticiones.

Se comprueban las tipografías que la página solicita, con el mismo criterio: un bloqueo no es un fallo.

Se detecta si la página pide la ubicación durante la carga, antes de cualquier interacción.

Se detecta si la página pide permiso para enviar notificaciones antes de cualquier interacción.

Se detecta si la página pide cámara o micrófono antes de cualquier interacción.

Se detecta audio o vídeo que empieza a sonar sin que el visitante lo pida. Un vídeo silenciado de fondo no cuenta.

Estimación de los caracteres por línea del bloque de texto más ancho. Es un dato de referencia, no un fallo: el número depende del ancho de pantalla con el que se mida.

Se buscan bloques de varias líneas con el texto justificado a ambos márgenes.

La etiqueta <html> debe declarar el idioma del contenido (por ejemplo lang="es") para que los lectores de pantalla lo pronuncien correctamente.

El idioma se declara con un código corto y normalizado: «es», «en», «es-ES». Aquí se comprueba que el que hay puesto sea uno real y esté bien escrito.

Cada elemento puede declarar qué tipo de cosa es (un botón, una pestaña, un aviso). Aquí se comprueba que el tipo declarado sea uno de los que existen.

No todas las marcas valen en todos los elementos. Aquí se comprueba que cada una esté puesta donde tiene sentido y que su nombre exista.

Algunos tipos obligan a declarar más cosas: un interruptor tiene que decir si está activado. Aquí se comprueba que no falte ninguna de esas marcas obligatorias.

Cada marca admite unos valores concretos. Aquí se comprueba que los valores puestos sean de los admitidos y que, cuando apuntan a otro elemento de la página, ese elemento exista.

Se comprueba que cada enlace social lleve a un perfil concreto y no a la portada de la red ni al usuario de ejemplo de la plantilla.

Se cuentan los formularios con campos de entrada reales (texto, email, teléfono, mensaje…): la vía por la que un visitante envía datos de contacto, presupuesto o registro. Los buscadores internos no cuentan como superficie de spam. Un formulario funcional sin protección es el punto de entrada más fácil para bots.

Mecanismos comunes: reCAPTCHA (Google), hCaptcha, honeypot (campo oculto), tokens CSRF. Al menos uno debería proteger cada formulario funcional.

Se añade a los parámetros de la página un texto único e inofensivo y se vuelve a pedir la página (solo lectura: no se envían formularios). Se comprueba si vuelve al HTML sin codificar. No se intenta ejecutar nada.

Se revisa el JavaScript propio de tu web (el de la página y el de tu dominio) en busca de funciones que escriben HTML (innerHTML, document.write…) alimentadas por datos que el visitante controla. La sola presencia de esas funciones no es un problema; solo se señala el flujo hasta ellas.

Se reutiliza la política de seguridad de contenido (CSP) que ya mide «Cabeceras de seguridad», como contexto de mitigación frente a scripts. No genera una segunda puntuación.

Se revisa cada elemento pulsable. Cumple si mide al menos 24 por 24 puntos o si tiene espacio suficiente alrededor como para no confundirlo con el siguiente.

El title es el texto azul clicable en Google. Longitud óptima: 30–60 caracteres. Por debajo se desaprovecha espacio visible; por encima Google lo corta.

La meta description es el texto gris bajo el título en Google. Longitud óptima: 120–160 caracteres.

Cuenta las versiones idiomáticas declaradas en la página. Es una evidencia de CONTEXTO: su ausencia no es un problema, porque no se puede saber si una web necesita versiones en otros idiomas.

Cada declaración usa un código de idioma —`es`— que puede llevar región —`es-ES`—, más el valor especial `x-default`. Un código inventado hace que Google descarte esa declaración entera.

Cada declaración apunta a la dirección de esa versión idiomática. Google exige direcciones completas, con dominio incluido. NO se visita el destino: solo se comprueba el formato.

Cada idioma debe declararse una sola vez. Si el mismo idioma apunta a dos direcciones distintas, Google no sabe cuál es la buena.

robots.txt indica a los buscadores qué páginas pueden rastrear. Si bloquea una URL, Google no la visita ni la indexa.

Una página puede pedir a los buscadores que NO la incluyan en sus resultados mediante la etiqueta <meta name="robots"> con la directiva noindex (o mediante la cabecera HTTP X-Robots-Tag). Es una orden explícita: Google la respeta aunque el resto del SEO esté perfecto. Suele quedarse activada por error tras una migración o un lanzamiento (el noindex de la versión en pruebas se olvida).

El código con el que responde el servidor al pedir la página. Un `200` es «aquí está»; una redirección lleva a otra dirección; un `4xx` o `5xx` significa que no hay página que mostrar.

Se revisa la configuración de la página para el móvil. Se considera bloqueado si prohíbe ampliar, o si permite ampliar menos del doble.