Esto es lo que hemos medido en feda.ad.

Los motores de IA usan rastreadores propios (GPTBot de OpenAI, ClaudeBot de Anthropic, PerplexityBot, Google-Extended, CCBot…). El archivo robots.txt puede permitirles o bloquearles el acceso.

Un certificado SSL válido es requisito para que el navegador muestre la conexión como segura. Si caduca, el navegador bloquea el acceso con una pantalla de advertencia.

No basta con que el certificado SSL esté en fechas: tiene que estar emitido por una autoridad reconocida y para el dominio correcto. Un certificado autofirmado, con la cadena incompleta o emitido para otro dominio hace que el navegador muestre una advertencia de seguridad a plena página en lugar de la web.

Si ambas versiones funcionan sin redirección entre ellas, Google las trata como páginas duplicadas y los usuarios pueden llegar por caminos diferentes.

Cuando una página HTTPS carga recursos por HTTP, los navegadores pueden bloquearlos o mostrar advertencias de seguridad.

TLS es el candado de la conexión, y tiene versiones. Las antiguas (1.0 y 1.1) se retiraron en 2021 porque se les encontraron fallos; los navegadores actuales ya no las usan. Un servidor puede seguir aceptándolas aunque nadie las pida.

Mucha gente escribe la dirección sin «https» o llega desde un enlace antiguo. Lo correcto es que el servidor la mande a la versión cifrada de inmediato, en un solo paso.

Se prueban las variantes de tu marca con una letra cambiada por otra ADYACENTE en el teclado, que es el error real de quien escribe deprisa.

Se comprueba si tu nombre exacto está registrado en las extensiones genéricas: .com, .net, .org y .biz.

Se detectan formularios, teléfonos pulsables, correos, WhatsApp y herramientas de reserva o chat. SOLO se detectan: no se rellenan ni se envían.

Se comprueba la etiqueta viewport del HTML: sin ella, el móvil finge ser un escritorio y encoge la página.

Se mide el ancho real del contenido con la pantalla de un móvil (375 px).

Misma medida con el ancho de una tableta (768 px).

Cada enlace debe tener un texto o nombre accesible que describa su destino; los enlaces vacíos o solo con un icono son ininteligibles para un lector de pantalla.

Se comprueban los botones de la página, incluidos los que solo llevan un icono. Cada uno debe tener un nombre, aunque no se muestre en pantalla.

Un marco incrustado es una página metida dentro de otra: un mapa, un vídeo, un formulario externo. Cada uno debe llevar un título que diga qué contiene.

Palabras del cuerpo de la página, sin contar el menú, la cabecera ni el pie. Es una medida de cantidad, no de calidad: solo detecta escasez extrema.

La mayoría de rastreadores de IA no ejecutan JavaScript: solo leen el HTML que devuelve el servidor. Si el contenido se genera en el navegador (SPA), para ellos la página llega casi vacía. Referencia: al menos 500 caracteres de texto en el HTML inicial.

Se detectan las tres formas de escribir esta ficha: JSON-LD (la recomendada), Microdata y RDFa. Es una evidencia de CONTEXTO: no todas las páginas necesitan una, así que su ausencia no se penaliza.

El valor de la canonical tiene que ser una dirección utilizable. Una mal formada no la interpreta nadie y equivale a no tenerla.

Una página debe declarar una sola canonical. Cuando hay varias —normalmente porque las pone el tema y además un plugin— Google se encuentra con instrucciones repetidas.

El tag canonical indica a Google cuál es la versión oficial de una página cuando existen varias URLs con contenido similar o idéntico.

Diferencias aparentemente menores (trailing slash, www, protocolo, parámetros) hacen que Google trate las URLs como páginas distintas.

Suma el tiempo que el código de tu web obliga al navegador a recalcular posiciones en mitad de la carga, en vez de dejarle agrupar el trabajo. Cuenta a partir de 30 ms, cuando el propio navegador avisa; el código de otras empresas (banners de cookies, analítica) no se cuenta.

Se comprueba si la página señala cuál es su contenido principal, la parte que no es cabecera, menú ni pie. Comprueba que exista; no detecta si hay más de una.

Una lista tiene que estar construida como tal para que el lector de pantalla anuncie cuántos elementos tiene y por cuál va. Aquí se comprueba que sus piezas estén bien anidadas.

Cada campo de un formulario —casillas, desplegables y áreas de texto— necesita un nombre que los lectores de pantalla puedan anunciar, ya venga de una etiqueta visible o de una marca interna.

Se registran los mensajes de error que el navegador anota durante la carga.

Se registran las excepciones sin controlar que lanza la página durante la carga.

Se registran las operaciones en segundo plano que fallan sin que nadie recoja el error.

Se comprueba el icono declarado por la web y, si no declara ninguno, la ruta convencional /favicon.ico.

Se comprueba la etiqueta og:image, que es la que usan WhatsApp, LinkedIn, Facebook y la mayoría al compartir un enlace.

Se comprueba la etiqueta twitter:image, que X usa para la tarjeta del enlace.

Cuando algo falla, el servidor puede mostrar el error al visitante en vez de guardarlo en su registro. Esos mensajes suelen incluir la ruta de los archivos, la versión del lenguaje y a veces fragmentos de configuración.

Se validan solo los eventos con esquema documentado por la plataforma. Un evento personalizado sin esquema publicado no tiene con qué contrastarse y no se juzga.

Se lee la lista que usa el gestor de etiquetas y se comprueba que sus entradas sean objetos, que es lo único que el gestor sabe leer.

`noindex` dice «no incluyas esta página en el buscador». La canonical dice «la versión buena de esta página es aquella». Juntas, y apuntando a otra dirección, se contradicen.

Las instrucciones para buscadores pueden venir de tres sitios: el `robots.txt`, la meta `robots` de la página y la cabecera `X-Robots-Tag`. Se comparan entre sí.

Se comprueban los destinos enlazados desde la página. Un destino que responde con un bloqueo (401, 403, 429) NO cuenta como roto: puede ser su protección anti-bots.

Se intenta resolver cada dirección enlazada con el analizador estándar de URL.

Para los enlaces que llevan a una sección de la propia página, se comprueba que la sección exista en la página ya renderizada.

Se compara la proporción real de cada archivo de imagen con la proporción con la que se muestra.

Tras terminar la carga se comprueba que cada imagen visible tenga su archivo. Una imagen aún cargando no se juzga.

Se comprueban las hojas de estilo que pide la página. Un 401, 403 o 429 no cuenta como fallo: puede ser una protección o nuestro propio ritmo de peticiones.

Se comprueban las tipografías que la página solicita, con el mismo criterio: un bloqueo no es un fallo.

Se detecta si la página pide la ubicación durante la carga, antes de cualquier interacción.

Se detecta si la página pide permiso para enviar notificaciones antes de cualquier interacción.

Se detecta si la página pide cámara o micrófono antes de cualquier interacción.

Se detecta audio o vídeo que empieza a sonar sin que el visitante lo pida. Un vídeo silenciado de fondo no cuenta.

Estimación de los caracteres por línea del bloque de texto más ancho. Es un dato de referencia, no un fallo: el número depende del ancho de pantalla con el que se mida.

Se buscan bloques de varias líneas con el texto justificado a ambos márgenes.

La etiqueta <html> debe declarar el idioma del contenido (por ejemplo lang="es") para que los lectores de pantalla lo pronuncien correctamente.

El idioma se declara con un código corto y normalizado: «es», «en», «es-ES». Aquí se comprueba que el que hay puesto sea uno real y esté bien escrito.

Cada elemento puede declarar qué tipo de cosa es (un botón, una pestaña, un aviso). Aquí se comprueba que el tipo declarado sea uno de los que existen.

No todas las marcas valen en todos los elementos. Aquí se comprueba que cada una esté puesta donde tiene sentido y que su nombre exista.

Algunos tipos obligan a declarar más cosas: un interruptor tiene que decir si está activado. Aquí se comprueba que no falte ninguna de esas marcas obligatorias.

Cada marca admite unos valores concretos. Aquí se comprueba que los valores puestos sean de los admitidos y que, cuando apuntan a otro elemento de la página, ese elemento exista.

Se mira si los envíos de medición salen hacia un servidor propio en vez de ir directos a la plataforma. Su ausencia NO penaliza: por eso esta evidencia no tiene escalón.

Se observan las peticiones que hace la web durante la carga y se contrastan con el catálogo de plataformas de analítica.

Se comprueba que los envíos de medición lleguen. Un 401, 403 o 429 no cuenta como fallo: puede ser un bloqueo temporal, no un error de configuración.

Se agrupan los envíos por plataforma, propiedad y nombre de evento durante una sola carga. Más de un envío del mismo evento a la misma propiedad es una doble implementación.

Se comprueba que cada enlace social lleve a un perfil concreto y no a la portada de la red ni al usuario de ejemplo de la plantilla.

Para las redes donde un error 404 significa de verdad que el perfil no existe (LinkedIn, YouTube y X), se comprueba que siga vivo. En las demás no se juzga: devuelven la misma respuesta exista o no la cuenta.

Se cuentan los formularios con campos de entrada reales (texto, email, teléfono, mensaje…): la vía por la que un visitante envía datos de contacto, presupuesto o registro. Los buscadores internos no cuentan como superficie de spam. Un formulario funcional sin protección es el punto de entrada más fácil para bots.

Mecanismos comunes: reCAPTCHA (Google), hCaptcha, honeypot (campo oculto), tokens CSRF. Al menos uno debería proteger cada formulario funcional.

Un formulario puede estar en una página cifrada y aun así enviar lo que se escribe a una dirección sin cifrar. El candado del navegador no avisa de eso.

Se añade a los parámetros de la página un texto único e inofensivo y se vuelve a pedir la página (solo lectura: no se envían formularios). Se comprueba si vuelve al HTML sin codificar. No se intenta ejecutar nada.

Se revisa el JavaScript propio de tu web (el de la página y el de tu dominio) en busca de funciones que escriben HTML (innerHTML, document.write…) alimentadas por datos que el visitante controla. La sola presencia de esas funciones no es un problema; solo se señala el flujo hasta ellas.

Se reutiliza la política de seguridad de contenido (CSP) que ya mide «Cabeceras de seguridad», como contexto de mitigación frente a scripts. No genera una segunda puntuación.

Casi todas las webs cargan librerías o tipografías desde servidores ajenos. El atributo `integrity` guarda una huella del archivo esperado: si el proveedor sirve algo distinto, el navegador lo bloquea en lugar de ejecutarlo.

Se revisa cada elemento pulsable. Cumple si mide al menos 24 por 24 puntos o si tiene espacio suficiente alrededor como para no confundirlo con el siguiente.

Tiempo desde que se pide la página hasta que llega el primer dato de respuesta. Mide lo que tarda tu servidor en ponerse en marcha, no lo que tarda la página en dibujarse.

HTTP/2 y HTTP/3 descargan muchos archivos a la vez por la misma conexión; HTTP/1.1 los pide casi de uno en uno. La diferencia solo importa cuando hay bastantes archivos, así que no se señala en webs con pocos.

El title es el texto azul clicable en Google. Longitud óptima: 30–60 caracteres. Por debajo se desaprovecha espacio visible; por encima Google lo corta.

La meta description es el texto gris bajo el título en Google. Longitud óptima: 120–160 caracteres.

Cuenta las versiones idiomáticas declaradas en la página. Es una evidencia de CONTEXTO: su ausencia no es un problema, porque no se puede saber si una web necesita versiones en otros idiomas.

robots.txt indica a los buscadores qué páginas pueden rastrear. Si bloquea una URL, Google no la visita ni la indexa.

Una página puede pedir a los buscadores que NO la incluyan en sus resultados mediante la etiqueta <meta name="robots"> con la directiva noindex (o mediante la cabecera HTTP X-Robots-Tag). Es una orden explícita: Google la respeta aunque el resto del SEO esté perfecto. Suele quedarse activada por error tras una migración o un lanzamiento (el noindex de la versión en pruebas se olvida).

El código con el que responde el servidor al pedir la página. Un `200` es «aquí está»; una redirección lleva a otra dirección; un `4xx` o `5xx` significa que no hay página que mostrar.