Esto es lo que hemos medido en 
outnord.bitanube.com.
Página analizada Inicio
Haz clic para agrandar
¿Cómo está mi web?
el resumen visual y, si quieres, los gráficos
¿Cómo está mi web?
el resumen visual y, si quieres, los gráficos
Lo que conviene revisar
Los hallazgos, agrupados por efecto posible.
Lo que conviene revisar
Los hallazgos, agrupados por efecto posible.Hallazgos pendientes de revisar
Bloqueancapacidades de tu página: no funcionan o no existen.3 hallazgos
Pruebas que lo respaldan
Certificado SSL válido + caducidad82 días→≥ 30 días
Un certificado SSL válido es requisito para que el navegador muestre la conexión como segura. Si caduca, el navegador bloquea el acceso con una pantalla de advertencia.
Certificado de confianzaSí
No basta con que el certificado SSL esté en fechas: tiene que estar emitido por una autoridad reconocida y para el dominio correcto. Un certificado autofirmado, con la cadena incompleta o emitido para otro dominio hace que el navegador muestre una advertencia de seguridad a plena página en lugar de la web.
Redirección www consistenteNo
Si ambas versiones funcionan sin redirección entre ellas, Google las trata como páginas duplicadas y los usuarios pueden llegar por caminos diferentes.
Contenido mixtoNo
Cuando una página HTTPS carga recursos por HTTP, los navegadores pueden bloquearlos o mostrar advertencias de seguridad.
Versiones TLS0 versiones
TLS es el candado de la conexión, y tiene versiones. Las antiguas (1.0 y 1.1) se retiraron en 2021 porque se les encontraron fallos; los navegadores actuales ya no las usan. Un servidor puede seguir aceptándolas aunque nadie las pida.
Redirección HTTP a HTTPS1 salto
Mucha gente escribe la dirección sin «https» o llega desde un enlace antiguo. Lo correcto es que el servidor la mande a la versión cifrada de inmediato, en un solo paso.
Pruebas que lo respaldan
Política de privacidadNo
La web debe enlazar de forma visible su política de privacidad, donde informa de qué datos recoge y con qué fin (deber de información del RGPD).
solo_terceros×1Pruebas que lo respaldan
Canonical validaValida
El valor de la canonical tiene que ser una dirección utilizable. Una mal formada no la interpreta nadie y equivale a no tenerla.
Multiples canonicals1 canonical
Una página debe declarar una sola canonical. Cuando hay varias —normalmente porque las pone el tema y además un plugin— Google se encuentra con instrucciones repetidas.
Canonical presenteSí
El tag canonical indica a Google cuál es la versión oficial de una página cuando existen varias URLs con contenido similar o idéntico.
Conflicto canonical vs URLSí
Diferencias aparentemente menores (trailing slash, www, protocolo, parámetros) hacen que Google trate las URLs como páginas distintas.
Limitancapacidades que sí funcionan, pero por debajo de lo que podrían.7 hallazgos
Pruebas que lo respaldan
Variantes tipográficas1 dominio→Ninguno
Se prueban las variantes de tu marca con una letra cambiada por otra ADYACENTE en el teclado, que es el error real de quien escribe deprisa.
vitanube.com×1TLD genéricos0 dominios→Ninguno
Se comprueba si tu nombre exacto está registrado en las extensiones genéricas: .com, .net, .org y .biz.
Pruebas que lo respaldan
CMS y versión expuestaSí
Revelar qué CMS o tecnología usa la web —y, cuando es visible, su versión— permite a un atacante buscar vulnerabilidades conocidas en bases de datos públicas de CVEs. Las señales van desde la meta generator o las cabeceras del servidor hasta las rutas típicas del CMS (que delatan la tecnología aunque no la versión).
cabecera server: nginx/1.22.1×1Servidor y versión expuestosVersion concreta
Cada respuesta de tu web puede decir qué programa la sirve y en qué versión. Con la versión concreta, buscar fallos conocidos de ese programa es cuestión de una consulta.
Framework o tecnología expuestaNinguna
Además del servidor, otras cabeceras pueden delatar el lenguaje o el framework con el que está hecha la web, y a veces su versión.
Pruebas que lo respaldan
SPFAusente
El SPF es la lista de servidores autorizados a enviar correo en nombre de tu dominio. Se publica en el DNS y la consultan los sistemas que reciben tus mensajes.
DMARCAusente
El DMARC es la instrucción de qué hacer con el correo que dice venir de ti pero no supera las comprobaciones: dejarlo pasar, mandarlo a spam o rechazarlo. Sin él, cada sistema decide por su cuenta.
Pruebas que lo respaldan
HSTSAusente
HSTS le dice al navegador que en tu dominio SIEMPRE debe usar HTTPS, incluso si alguien escribe la dirección sin la «s» o pincha en un enlace antiguo. Sin él, esa primera petición viaja sin cifrar y puede ser interceptada.
Content Security PolicyAusente
La Content Security Policy es una lista blanca: le dice al navegador desde qué sitios puede cargar y ejecutar código en tu web. Es la defensa más eficaz contra que alguien consiga colar un script ajeno en una de tus páginas.
Protección contra framingAusente
Sin esta protección, cualquiera puede incrustar tu web dentro de la suya en un marco invisible y superponerle botones. El visitante cree que pulsa en tu web y en realidad está pulsando en la del atacante.
MIME sniffingAusente
Cuando un archivo no declara bien qué tipo es, el navegador intenta adivinarlo. Esta cabecera le pide que no lo haga y se fíe de lo que el servidor declara.
Referrer PolicyAusente
Cuando alguien pincha en un enlace que sale de tu web, el navegador cuenta al destino desde qué dirección venía. Esta política decide cuánto de esa dirección se comparte.
Permissions PolicyAusente
Esta cabecera permite declarar qué capacidades del navegador —cámara, micrófono, ubicación— pueden usarse en tu web y, sobre todo, en el contenido de terceros que incrustes.
CORS permisivoRestringido
Las reglas CORS deciden qué otras webs pueden leer las respuestas de la tuya desde el navegador de un visitante. Abrirlas a todo el mundo es correcto para contenido público, pero no si además se envían las credenciales de la sesión.
Pruebas que lo respaldan
Indexacion y canonicalCoherente
`noindex` dice «no incluyas esta página en el buscador». La canonical dice «la versión buena de esta página es aquella». Juntas, y apuntando a otra dirección, se contradicen.
Instrucciones para buscadoresRestricciones distintas
Las instrucciones para buscadores pueden venir de tres sitios: el `robots.txt`, la meta `robots` de la página y la cabecera `X-Robots-Tag`. Se comparan entre sí.
Pruebas que lo respaldan
Analítica detectable0 herramientas
Se observan las peticiones que hace la web durante la carga y se contrastan con el catálogo de plataformas de analítica.
Peticiones de medición correctas0 envíos→Ninguno
Se comprueba que los envíos de medición lleguen. Un 401, 403 o 429 no cuenta como fallo: puede ser un bloqueo temporal, no un error de configuración.
Pruebas que lo respaldan
Imagenes sobredimensionadas26 KB
Compara el tamaño del archivo descargado con el que hace falta para el hueco donde se muestra. Una foto de 3.000 píxeles en un recuadro de 400 desperdicia casi todo.
Compresion de imagenes0 KB
Las fotos admiten un grado de compresión que reduce el archivo sin que el ojo note la diferencia. Se comprueba cuáles están guardadas con menos compresión de la que admitirían.
Formato de imagen0 KB
Los formatos actuales (WebP, AVIF) ocupan bastante menos que JPEG o PNG con la misma calidad, y los admiten todos los navegadores en uso.
Afectancapacidades que funcionan; el efecto se nota, no lo impide.4 hallazgos
Pruebas que lo respaldan
Favicon válidoSí
Se comprueba el icono declarado por la web y, si no declara ninguno, la ruta convencional /favicon.ico.
Imagen Open GraphNo
Se comprueba la etiqueta og:image, que es la que usan WhatsApp, LinkedIn, Facebook y la mayoría al compartir un enlace.
el recurso responde 404×1Imagen de TwitterNo
Se comprueba la etiqueta twitter:image, que X usa para la tarjeta del enlace.
el recurso responde 404×1Pruebas que lo respaldan
Reflow forzado1 incidencia
Cuenta las veces que el código obliga al navegador a recalcular posiciones en mitad de la carga, en vez de dejarle agrupar el trabajo.
Pruebas que lo respaldan
Marcado estructurado1 bloque
Se detectan las tres formas de escribir esta ficha: JSON-LD (la recomendada), Microdata y RDFa. Es una evidencia de CONTEXTO: no todas las páginas necesitan una, así que su ausencia no se penaliza.
Sintaxis del marcado0 bloques
La ficha se escribe en un formato con reglas estrictas. Si tiene un error de escritura —una coma de más, una comilla sin cerrar— el buscador la descarta entera.
Tipos declarados1 tipo
Cada bloque declara QUÉ describe: una organización, un producto, un artículo. Se comprueba contra los tipos de uso más habitual; que uno sea poco frecuente no lo hace incorrecto, pero conviene confirmar que es el que querías.
TravelAgency×1Pruebas que lo respaldan
Presencia de formularios1 formulario
Se cuentan los formularios con campos de entrada reales (texto, email, teléfono, mensaje…): la vía por la que un visitante envía datos de contacto, presupuesto o registro. Los buscadores internos no cuentan como superficie de spam. Un formulario funcional sin protección es el punto de entrada más fácil para bots.
Protección anti-spamNo
Mecanismos comunes: reCAPTCHA (Google), hCaptcha, honeypot (campo oculto), tokens CSRF. Al menos uno debería proteger cada formulario funcional.
Envío seguro del formulario0 formularios
Un formulario puede estar en una página cifrada y aun así enviar lo que se escribe a una dirección sin cifrar. El candado del navegador no avisa de eso.
No concluyentespruebas sin un resultado claro; no se pudieron verificar con certeza.5 pruebas
No se han podido comprobar por algún motivo (falta de datos, acceso o una prueba que requiere tu intervención). Por sí solas no determinan un hallazgo: quedan aquí como testigo de ejecución, con el motivo que dio el motor.
Falsos positivoslo que marcaste como detección errónea; queda aquí, fuera de tu selección.0 hallazgos
Tu selección
Los hallazgos que elijas se reúnen aquí para tratarlos juntos.
Tu selección
Los hallazgos que elijas se reúnen aquí para tratarlos juntos.Tu estado tras la revisión
Tu verdadero estado de salud según lo que has decidido, no el diagnóstico inicial.
Tras tu revisión, 14 puntos siguen pidiendo atención; el resto los has dado por leídos, marcado como falsos-positivos o están bien.
Aún no has añadido ningún hallazgo.
Desde cualquier hallazgo, pulsa «A tu selección» y aparecerá aquí.
A revisar (0)
0 hallazgosTambién marcaste 0 como considerados falsos-positivos
3¿Qué quieres hacer con el Informe?
Resolverlo, claro. Pero ¿quién y cómo?Resolverlo, claro. Pero ¿te ayudamos?
¿Qué quieres hacer con el Informe?
Resolverlo, claro. Pero ¿quién y cómo?Resolverlo, claro. Pero ¿te ayudamos?Ya tienes un buen informe (y gratuito 😉).
A partir de aquí, dos maneras de ampliar el informe completo si tu negocio lo requiere.A partir de aquí, amplía el informe completo cuando tu negocio lo requiera.
¿Quién dará el siguiente paso?
Lo revisará un equipo profesional.
Envía este informe a un espacio digital compartido, donde cada persona a la que invites entiende qué hacer y por qué de forma coordinada.
- Compartes primero, decidiréis si desbloquear después.
- No tendrás que explicarlo desde cero.
- Partiréis del mismo informe.
- Evitaréis malentendidos y empezaréis antes.
Prefiero revisarlo yo.Consigue el informe completo.
Amplía este informe a su máxima profundidad para entenderlo y tomar las mejores decisiones para resolverlo tú mismo, con tu equipo, o pedir un presupuesto.
- Desbloqueas ahora, decidirás si compartir después.
- Decides con más seguridad.
- Confirmas si merece la pena actuar.
- Menos incertidumbre antes de invertir.
−50 % Early Access Precio de lanzamiento: el descuento se mantiene para siempre en tu cuenta.
Muévelo
guárdalo, expórtalo o compártelo
Muévelo
guárdalo, expórtalo o compárteloSin nada marcado te llevas el informe completo. Si añades hallazgos a tu selección, podrás compartir o exportar también solo esos.
¿Y ahora, qué quieres analizar?
Una web puede parecer correcta y, aun así, esconder problemas que afectan a su utilidad, confianza o rendimiento. Wakaris los observa, los documenta y te los explica para que decidas tú.
Por un internet útil y seguro.