Esto es lo que hemos medido en nexe.ad.

Los motores de IA usan rastreadores propios (GPTBot de OpenAI, ClaudeBot de Anthropic, PerplexityBot, Google-Extended, CCBot…). El archivo robots.txt puede permitirles o bloquearles el acceso.

Revelar qué CMS o tecnología usa la web —y, cuando es visible, su versión— permite a un atacante buscar vulnerabilidades conocidas en bases de datos públicas de CVEs. Las señales van desde la meta generator o las cabeceras del servidor hasta las rutas típicas del CMS (que delatan la tecnología aunque no la versión).

Cada respuesta de tu web puede decir qué programa la sirve y en qué versión. Con la versión concreta, buscar fallos conocidos de ese programa es cuestión de una consulta.

Además del servidor, otras cabeceras pueden delatar el lenguaje o el framework con el que está hecha la web, y a veces su versión.

Se busca el sitemap donde lo buscaría un buscador: declarado en el `robots.txt` y en las rutas habituales. Se comprueba que exista y que su formato XML sea válido; NO se comprueba si están todas tus páginas.

El SPF es la lista de servidores autorizados a enviar correo en nombre de tu dominio. Se publica en el DNS y la consultan los sistemas que reciben tus mensajes.

El DMARC es la instrucción de qué hacer con el correo que dice venir de ti pero no supera las comprobaciones: dejarlo pasar, mandarlo a spam o rechazarlo. Sin él, cada sistema decide por su cuenta.

Se comprueba la etiqueta viewport del HTML: sin ella, el móvil finge ser un escritorio y encoge la página.

Se mide el ancho real del contenido con la pantalla de un móvil (375 px).

Misma medida con el ancho de una tableta (768 px).

Se cuentan las imágenes que no llevan atributo de texto alternativo. Las marcadas como decorativas —con el atributo vacío a propósito— no cuentan: es la forma correcta de declararlas.

Algunos botones son una imagen en sí mismos —un «buscar» dibujado, un «enviar» con forma de flecha—. Necesitan su propio texto alternativo, que hace de nombre del botón.

Cada enlace debe tener un texto o nombre accesible que describa su destino; los enlaces vacíos o solo con un icono son ininteligibles para un lector de pantalla.

Se comprueban los botones de la página, incluidos los que solo llevan un icono. Cada uno debe tener un nombre, aunque no se muestre en pantalla.

Un marco incrustado es una página metida dentro de otra: un mapa, un vídeo, un formulario externo. Cada uno debe llevar un título que diga qué contiene.

Si la página declara preguntas frecuentes (FAQPage), se comprueba que cada pregunta tenga enunciado y respuesta.

Palabras del cuerpo de la página, sin contar el menú, la cabecera ni el pie. Es una medida de cantidad, no de calidad: solo detecta escasez extrema.

La mayoría de rastreadores de IA no ejecutan JavaScript: solo leen el HTML que devuelve el servidor. Si el contenido se genera en el navegador (SPA), para ellos la página llega casi vacía. Referencia: al menos 500 caracteres de texto en el HTML inicial.

Se detectan las tres formas de escribir esta ficha: JSON-LD (la recomendada), Microdata y RDFa. Es una evidencia de CONTEXTO: no todas las páginas necesitan una, así que su ausencia no se penaliza.

La ficha se escribe en un formato con reglas estrictas. Si tiene un error de escritura —una coma de más, una comilla sin cerrar— el buscador la descarta entera.

Cada bloque declara QUÉ describe: una organización, un producto, un artículo. Se comprueba contra los tipos de uso más habitual; que uno sea poco frecuente no lo hace incorrecto, pero conviene confirmar que es el que querías.

El valor de la canonical tiene que ser una dirección utilizable. Una mal formada no la interpreta nadie y equivale a no tenerla.

Una página debe declarar una sola canonical. Cuando hay varias —normalmente porque las pone el tema y además un plugin— Google se encuentra con instrucciones repetidas.

El tag canonical indica a Google cuál es la versión oficial de una página cuando existen varias URLs con contenido similar o idéntico.

Diferencias aparentemente menores (trailing slash, www, protocolo, parámetros) hacen que Google trate las URLs como páginas distintas.

El H1 es el titular de la página. Un H1 que existe pero no tiene texto —porque solo contiene un logotipo o una imagen— no le dice nada al buscador.

Los encabezados forman el índice de la página: H1 el titular, H2 las secciones, H3 los apartados. Saltarse niveles rompe ese índice.

Un encabezado sin texto suele ser un contenedor usado para maquetar —un icono, una imagen decorativa— y no aporta nada al índice de la página.

El estándar SEO es que cada página tenga exactamente un H1 que defina su tema principal. Cero o más de uno confunde a Google sobre cuál es el contenido central.

Se comprueba si la página señala cuál es su contenido principal, la parte que no es cabecera, menú ni pie. Comprueba que exista; no detecta si hay más de una.

Una lista tiene que estar construida como tal para que el lector de pantalla anuncie cuántos elementos tiene y por cuál va. Aquí se comprueba que sus piezas estén bien anidadas.

Cada campo de un formulario —casillas, desplegables y áreas de texto— necesita un nombre que los lectores de pantalla puedan anunciar, ya venga de una etiqueta visible o de una marca interna.

Se registran los mensajes de error que el navegador anota durante la carga.

Se registran las excepciones sin controlar que lanza la página durante la carga.

Se registran las operaciones en segundo plano que fallan sin que nadie recoja el error.

Proporción de contenedores con significado (header, nav, main, section, article, aside, footer, figure…) sobre el total de contenedores de la página.

Se comprueba el icono declarado por la web y, si no declara ninguno, la ruta convencional /favicon.ico.

Si el marcado declara un logo de organización, se comprueba que la dirección exista y sea una imagen.

Se comprueba la etiqueta og:image, que es la que usan WhatsApp, LinkedIn, Facebook y la mayoría al compartir un enlace.

Se comprueba la etiqueta twitter:image, que X usa para la tarjeta del enlace.

Cuando algo falla, el servidor puede mostrar el error al visitante en vez de guardarlo en su registro. Esos mensajes suelen incluir la ruta de los archivos, la versión del lenguaje y a veces fragmentos de configuración.

`noindex` dice «no incluyas esta página en el buscador». La canonical dice «la versión buena de esta página es aquella». Juntas, y apuntando a otra dirección, se contradicen.

Las instrucciones para buscadores pueden venir de tres sitios: el `robots.txt`, la meta `robots` de la página y la cabecera `X-Robots-Tag`. Se comparan entre sí.

Se comprueban los destinos enlazados desde la página. Un destino que responde con un bloqueo (401, 403, 429) NO cuenta como roto: puede ser su protección anti-bots.

Se intenta resolver cada dirección enlazada con el analizador estándar de URL.

Para los enlaces que llevan a una sección de la propia página, se comprueba que la sección exista en la página ya renderizada.

Se compara la proporción real de cada archivo de imagen con la proporción con la que se muestra.

Tras terminar la carga se comprueba que cada imagen visible tenga su archivo. Una imagen aún cargando no se juzga.

Se comprueban las hojas de estilo que pide la página. Un 401, 403 o 429 no cuenta como fallo: puede ser una protección o nuestro propio ritmo de peticiones.

Se comprueban las tipografías que la página solicita, con el mismo criterio: un bloqueo no es un fallo.

Se detecta si la página pide la ubicación durante la carga, antes de cualquier interacción.

Se detecta si la página pide permiso para enviar notificaciones antes de cualquier interacción.

Se detecta si la página pide cámara o micrófono antes de cualquier interacción.

Se detecta audio o vídeo que empieza a sonar sin que el visitante lo pida. Un vídeo silenciado de fondo no cuenta.

Estimación de los caracteres por línea del bloque de texto más ancho. Es un dato de referencia, no un fallo: el número depende del ancho de pantalla con el que se mida.

Se buscan bloques de varias líneas con el texto justificado a ambos márgenes.

La etiqueta <html> debe declarar el idioma del contenido (por ejemplo lang="es") para que los lectores de pantalla lo pronuncien correctamente.

El idioma se declara con un código corto y normalizado: «es», «en», «es-ES». Aquí se comprueba que el que hay puesto sea uno real y esté bien escrito.

Cada elemento puede declarar qué tipo de cosa es (un botón, una pestaña, un aviso). Aquí se comprueba que el tipo declarado sea uno de los que existen.

No todas las marcas valen en todos los elementos. Aquí se comprueba que cada una esté puesta donde tiene sentido y que su nombre exista.

Algunos tipos obligan a declarar más cosas: un interruptor tiene que decir si está activado. Aquí se comprueba que no falte ninguna de esas marcas obligatorias.

Cada marca admite unos valores concretos. Aquí se comprueba que los valores puestos sean de los admitidos y que, cuando apuntan a otro elemento de la página, ese elemento exista.

Se comprueba que cada enlace social lleve a un perfil concreto y no a la portada de la red ni al usuario de ejemplo de la plantilla.

Para las redes donde un error 404 significa de verdad que el perfil no existe (LinkedIn, YouTube y X), se comprueba que siga vivo. En las demás no se juzga: devuelven la misma respuesta exista o no la cuenta.

El estándar recomendado es inferior a 3 MB. A diferencia de las métricas de experiencia, esto cuenta TODO lo que la página descarga —también lo que carga en segundo plano sin que el visitante lo perciba— y penaliza sobre todo a quien navega con datos limitados o conexión lenta.

Se cuentan los formularios con campos de entrada reales (texto, email, teléfono, mensaje…): la vía por la que un visitante envía datos de contacto, presupuesto o registro. Los buscadores internos no cuentan como superficie de spam. Un formulario funcional sin protección es el punto de entrada más fácil para bots.

Mecanismos comunes: reCAPTCHA (Google), hCaptcha, honeypot (campo oculto), tokens CSRF. Al menos uno debería proteger cada formulario funcional.

Se añade a los parámetros de la página un texto único e inofensivo y se vuelve a pedir la página (solo lectura: no se envían formularios). Se comprueba si vuelve al HTML sin codificar. No se intenta ejecutar nada.

Se revisa el JavaScript propio de tu web (el de la página y el de tu dominio) en busca de funciones que escriben HTML (innerHTML, document.write…) alimentadas por datos que el visitante controla. La sola presencia de esas funciones no es un problema; solo se señala el flujo hasta ellas.

Se reutiliza la política de seguridad de contenido (CSP) que ya mide «Cabeceras de seguridad», como contexto de mitigación frente a scripts. No genera una segunda puntuación.

Se revisa cada elemento pulsable. Cumple si mide al menos 24 por 24 puntos o si tiene espacio suficiente alrededor como para no confundirlo con el siguiente.

HTTP/2 y HTTP/3 descargan muchos archivos a la vez por la misma conexión; HTTP/1.1 los pide casi de uno en uno. La diferencia solo importa cuando hay bastantes archivos, así que no se señala en webs con pocos.

Tiempo desde que se pide la página hasta que llega el primer dato de respuesta. Mide lo que tarda tu servidor en ponerse en marcha, no lo que tarda la página en dibujarse.

El title es el texto azul clicable en Google. Longitud óptima: 30–60 caracteres. Por debajo se desaprovecha espacio visible; por encima Google lo corta.

La meta description es el texto gris bajo el título en Google. Longitud óptima: 120–160 caracteres.

Cuenta las versiones idiomáticas declaradas en la página. Es una evidencia de CONTEXTO: su ausencia no es un problema, porque no se puede saber si una web necesita versiones en otros idiomas.

Cada declaración usa un código de idioma —`es`— que puede llevar región —`es-ES`—, más el valor especial `x-default`. Un código inventado hace que Google descarte esa declaración entera.

Cada declaración apunta a la dirección de esa versión idiomática. Google exige direcciones completas, con dominio incluido. NO se visita el destino: solo se comprueba el formato.

Cada idioma debe declararse una sola vez. Si el mismo idioma apunta a dos direcciones distintas, Google no sabe cuál es la buena.

robots.txt indica a los buscadores qué páginas pueden rastrear. Si bloquea una URL, Google no la visita ni la indexa.

Una página puede pedir a los buscadores que NO la incluyan en sus resultados mediante la etiqueta <meta name="robots"> con la directiva noindex (o mediante la cabecera HTTP X-Robots-Tag). Es una orden explícita: Google la respeta aunque el resto del SEO esté perfecto. Suele quedarse activada por error tras una migración o un lanzamiento (el noindex de la versión en pruebas se olvida).

El código con el que responde el servidor al pedir la página. Un `200` es «aquí está»; una redirección lleva a otra dirección; un `4xx` o `5xx` significa que no hay página que mostrar.

Se revisa la configuración de la página para el móvil. Se considera bloqueado si prohíbe ampliar, o si permite ampliar menos del doble.