Herramienta gratis · Técnico

Auditoría web gratis

Un solo análisis de la página que ingresas y de hasta cuatro páginas clave, con resultados en siete áreas: accesibilidad, preparación para la EAA, SEO, velocidad, conversión, seguridad y autenticación de email. Empieza aquí para ver dónde están los mayores problemas antes de decidir qué corregir.

Gratis. Prueba hasta cinco páginas clave en alrededor de un minuto.

Qué revisa esta herramienta

  • Accesibilidad

    Reglas de axe-core de WCAG 2.2 de nivel A y AA en cada página probada, más una prueba con el teclado que detecta trampas de foco, enlaces para saltar al contenido y contornos de foco faltantes.

  • Preparación para la EAA

    Las fallas de accesibilidad automatizadas, vinculadas con la EN 301 549, la norma europea que se usa para la Ley Europea de Accesibilidad (EAA).

  • SEO

    Títulos, descripciones, H1, canónicas, noindex, robots.txt, el sitemap XML, viewport, idioma, Open Graph y datos estructurados.

  • Velocidad

    Tiempos de carga, desplazamiento del diseño, tareas largas, peso de la página, imágenes pesadas y la proporción de terceros, medidos en las mismas cargas de página. La prueba en celular con 4G lento está en la Prueba de velocidad del sitio web.

  • Conversión

    Llamados a la acción, vías de contacto, formularios y contenido de confianza, como testimonios y enlaces a políticas. En las tiendas, también revisiones de producto y carrito, como el precio, el botón de agregar al carrito y el botón de pago.

  • Seguridad pasiva

    El certificado, la redirección de HTTP a HTTPS, los encabezados de seguridad, los atributos de las cookies, el contenido mixto, las versiones desactualizadas de jQuery y Lodash, security.txt y la política DMARC que protege contra la suplantación de email.

  • Autenticación de email

    SPF, DKIM en selectores comunes, DMARC, BIMI y MTA-STS, leídos desde el DNS público.

  • Tipo de sitio web y tecnología

    El tipo de sitio (tienda, SaaS o app, sitio corporativo, blog, medio digital, educación, gobierno, salud, hotel o landing page) y su plataforma entre 18 tecnologías, detectados a partir de evidencia pública con un nivel de confianza. Ambos determinan qué páginas y qué verificaciones se usan.

Qué no puede revisar

  • Profundizar en una sola área. Cada área muestra sus hallazgos más importantes; el reporte de pago correspondiente ejecuta más pruebas y da la corrección para cada hallazgo.
  • Probar más de cinco páginas, páginas protegidas con inicio de sesión ni un proceso de pago.
  • Funcionar como una prueba de penetración. Las verificaciones de seguridad solo leen lo que muestran el navegador de un visitante y el DNS público.
  • Encontrar todas las claves DKIM. Los selectores no se pueden listar, así que solo se verifican los que usan los servicios de email más comunes.
  • Responder preguntas legales, como si la ADA o la EAA se aplican a tu caso o si las cumples.
  • Medir resultados como el posicionamiento, las tasas de conversión, las ventas o la llegada a la bandeja de entrada.

Por qué es importante

Los problemas de un sitio web rara vez se quedan en un área. Un carrusel de imágenes puede ser la falla de accesibilidad, el archivo más pesado de la página y la razón por la que el llamado a la acción queda debajo de la primera pantalla. Un banner de cookies puede atrapar el foco del teclado y mover el diseño al mismo tiempo. Ver todas las áreas en un solo análisis muestra dónde un solo cambio corrige varias cosas.

Una revisión amplia también encuentra lo que no tiene responsable. Los registros de autenticación de email se configuran una vez y se olvidan; sin una política DMARC aplicada, otros pueden enviar correos que parecen venir de tu dominio. El vencimiento del certificado, los encabezados de seguridad faltantes y un jQuery antiguo incluido por un plugin pasan igual de desapercibidos hasta que algo falla.

Como el análisis detecta qué tipo de sitio está probando, las verificaciones se ajustan: una tienda recibe revisiones de producto y carrito, un sitio SaaS de su página de precios y un blog de sus artículos. La detección muestra su evidencia y su nivel de confianza, para que notes cuando se equivocó.

Cómo interpretar los resultados

Problema
Un problema seguro que las verificaciones confirmaron, como una regla WCAG que falla, una página con noindex o la falta de un registro DMARC.
Revisar
Algo que una persona debería revisar, porque el software no puede decidirlo o puede ser intencional, como un elemento que axe-core no pudo resolver o una página que otros sitios pueden incrustar.
Oportunidad
Una mejora, no un error, como no tener Content Security Policy o un llamado a la acción debajo de la primera pantalla.
Aprobado
La verificación se ejecutó y no encontró nada mal en las páginas probadas.
Información
Contexto, no un veredicto, por ejemplo los encabezados de seguridad que Shopify define para todas las tiendas y que no puedes cambiar.
Tipo de sitio web y confianza
Lo que el análisis cree que es tu sitio, con la evidencia que lo respalda. Cuando la evidencia es escasa, el sitio se trata como un sitio web general y de todos modos recibe todas las verificaciones que sirven para cualquier sitio.
Tecnología
La plataforma o el framework detectado, como Shopify, WordPress, Webflow o Next.js. Determina qué pasos de corrección específicos de la plataforma ves.

Cómo corregir los problemas más comunes

  • No hay política DMARC

    Publica un registro TXT en _dmarc.yourdomain.com, por ejemplo v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, para empezar a recibir reportes. Cuando los reportes muestren que todos los servicios que envían email en tu nombre pasan SPF o DKIM, cambia a p=quarantine y luego a p=reject.

  • HTTP no redirige a HTTPS

    Activa la opción de forzar HTTPS en tu hosting o CDN, o agrega una redirección 301 de http:// a https:// para todas las rutas. Cuando HTTPS funcione en todas partes, agrega un encabezado Strict-Transport-Security.

  • Faltan encabezados de seguridad

    Empieza con X-Content-Type-Options: nosniff, una Referrer-Policy como strict-origin-when-cross-origin y frame-ancestors en una Content Security Policy (o X-Frame-Options) para evitar que otros sitios incrusten tus páginas en marcos. Una Content Security Policy completa necesita pruebas, así que empieza con Content-Security-Policy-Report-Only.

  • jQuery o Lodash desactualizados

    Actualiza a una versión actual o elimina la biblioteca si nada la usa. En WordPress, las copias antiguas suelen venir de un tema o un plugin que incluye la suya, así que la solución es actualizar o reemplazar ese plugin.

  • SPF con demasiadas consultas

    SPF permite como máximo 10 consultas DNS. Quita las entradas include: de servicios que ya no usas, evita los include anidados cuando puedas y asegúrate de que el dominio publique un solo registro SPF.

  • No hay un llamado a la acción claro

    Pon una acción principal, como “Agenda una demo”, “Solicita una cotización” o “Compra lo nuevo”, en la primera pantalla de la página de inicio como un enlace o botón real con texto específico, y repítela después de las secciones clave.

Preguntas sobre esta herramienta

¿Qué incluye la auditoría web gratis?

La página que ingresas y hasta cuatro páginas clave, probadas en un navegador real, más verificaciones de todo el sitio: robots.txt, el sitemap, el certificado, los encabezados de respuesta y los registros DNS. Los resultados se presentan en siete áreas, cada una con sus hallazgos más importantes.

¿Cuánto tarda?

Alrededor de un minuto en la mayoría de los sitios, ya que se cargan y prueban cinco páginas. Si la misma dirección se analizó en la última hora, es posible que se reutilicen esos resultados.

¿Es seguro ejecutar la verificación de seguridad en un sitio en producción?

Sí. Solo lee lo que muestran el navegador de un visitante y el DNS público: el certificado, los encabezados, las cookies, los scripts y los registros. Nunca prueba contraseñas, nunca sondea rutas ocultas y nunca envía tráfico de ataque.

¿Cómo se detecta el tipo de sitio web?

A partir de evidencia pública en tus páginas: datos estructurados, etiquetas generator, scripts y las palabras de enlaces y botones. Cada clasificación tiene un nivel de confianza y muestra su evidencia, así que es fácil detectar una suposición equivocada.

¿Por qué se probaron menos de cinco páginas?

Las páginas clave se eligen entre los enlaces de la página que ingresas. En un sitio pequeño, o cuando una página redirige a otro sitio, devuelve un error o está bloqueada, se pueden probar menos páginas.

¿Con qué reporte de pago debería empezar?

Con el del área cuyos problemas más te importan. Cada área de la auditoría enlaza a su reporte, que prueba más páginas o ejecuta pruebas adicionales y da la corrección para cada hallazgo.

Fuentes

Herramientas relacionadas