Herramienta gratis · Técnico

Auditoría web gratis

Un solo análisis de la página que introduces y de hasta cuatro páginas clave, con resultados en siete áreas: accesibilidad, preparación para la EAA, SEO, velocidad, conversión, seguridad y autenticación del email. Empieza por aquí para ver dónde están los problemas más importantes antes de decidir qué corregir.

Gratis. Prueba hasta cinco páginas clave en aproximadamente un minuto.

Qué comprueba esta herramienta

  • Accesibilidad

    Las reglas WCAG 2.2 de nivel A y AA de axe-core en cada página probada, además de una prueba con teclado para detectar trampas de foco, enlaces para saltar al contenido y contornos de foco que faltan.

  • Preparación para la EAA

    Los fallos de accesibilidad automatizados, vinculados a la EN 301 549, la norma europea que se utiliza para la Ley Europea de Accesibilidad.

  • SEO

    Títulos, descripciones, H1, etiquetas canónicas, noindex, robots.txt, el sitemap XML, viewport, idioma, Open Graph y datos estructurados.

  • Velocidad

    Tiempos de carga, cambios de diseño, tareas largas, peso de la página, imágenes pesadas y la proporción de terceros, medidos en las mismas cargas de página. La prueba en móvil con 4G lento está en el Test de velocidad web.

  • Conversión

    Llamadas a la acción, vías de contacto, formularios y contenido de confianza, como testimonios y enlaces a las políticas. En las tiendas, también comprobaciones de producto y de carrito, como el precio, el botón de añadir al carrito y el botón de pago.

  • Seguridad pasiva

    El certificado, la redirección de HTTP a HTTPS, las cabeceras de seguridad, los atributos de las cookies, el contenido mixto, las versiones desactualizadas de jQuery y Lodash, security.txt y la política DMARC que protege contra la suplantación del email.

  • Autenticación del email

    SPF, DKIM en los selectores habituales, DMARC, BIMI y MTA-STS, leídos del DNS público.

  • Tipo de sitio web y tecnología

    El tipo de sitio (tienda, SaaS o app, web corporativa, blog, medio de comunicación, educación, administración pública, salud, hotel o landing page) y su plataforma entre 18 tecnologías, detectados a partir de evidencias públicas con un nivel de confianza. Ambos determinan qué páginas y qué comprobaciones se usan.

Qué no puede comprobar

  • Profundizar en un área concreta. Cada área muestra sus hallazgos más importantes; el informe de pago correspondiente ejecuta más pruebas e incluye la solución para cada hallazgo.
  • Probar más de cinco páginas, páginas protegidas por un inicio de sesión ni un proceso de pago.
  • Funcionar como una prueba de penetración. Las comprobaciones de seguridad solo leen lo que muestran el navegador de un visitante y el DNS público.
  • Encontrar todas las claves DKIM. Los selectores no se pueden enumerar, así que solo se comprueban los que usan los servicios de email habituales.
  • Responder a preguntas legales, como si la ADA o la EAA se aplican a tu caso o si las cumples.
  • Medir resultados como el posicionamiento, las tasas de conversión, las ventas o la llegada a la bandeja de entrada.

Por qué es importante

Los problemas de un sitio web rara vez se quedan en una sola área. Un carrusel de imágenes puede ser a la vez el fallo de accesibilidad, el archivo más pesado de la página y el motivo de que la llamada a la acción quede por debajo de la primera pantalla. Un banner de cookies puede atrapar el foco del teclado y desplazar el diseño al mismo tiempo. Ver todas las áreas en un solo análisis muestra dónde un único cambio corrige varias cosas.

Una revisión amplia también encuentra lo que no es responsabilidad de nadie. Los registros de autenticación del email se configuran una vez y se olvidan; sin una política DMARC aplicada, otros pueden enviar correo que parece proceder de tu dominio. La caducidad del certificado, la falta de cabeceras de seguridad y un jQuery antiguo incluido en un plugin pasan igual de desapercibidos hasta que algo falla.

Como el análisis detecta qué tipo de sitio está probando, las comprobaciones se adaptan: una tienda recibe comprobaciones de producto y de carrito; un sitio de SaaS, de su página de precios, y un blog, de sus artículos. La detección muestra sus evidencias y su nivel de confianza, para que puedas saber cuándo se ha equivocado.

Cómo interpretar los resultados

Problema
Un problema seguro que las comprobaciones han confirmado, como una regla WCAG que falla, una página marcada como noindex o la falta de un registro DMARC.
Revisar
Algo que debe revisar una persona, porque el software no puede decidirlo o porque puede ser intencionado, como un elemento que axe-core no pudo resolver o una página que otros sitios pueden incrustar.
Oportunidad
Una mejora más que un error, como la falta de una Content Security Policy o una llamada a la acción por debajo de la primera pantalla.
Superado
La comprobación se ejecutó y no encontró nada incorrecto en las páginas probadas.
Información
Contexto más que un veredicto, por ejemplo las cabeceras de seguridad que Shopify establece en todas las tiendas y que no puedes cambiar.
Tipo de sitio web y nivel de confianza (Website type and confidence)
Lo que el análisis cree que es tu sitio, con las evidencias en las que se basa. Cuando las evidencias son escasas, el sitio se trata como un sitio web genérico y recibe igualmente todas las comprobaciones adecuadas para cualquier sitio.
Tecnología
La plataforma o el framework detectado, como Shopify, WordPress, Webflow o Next.js. Determina qué pasos de corrección específicos de cada plataforma ves.

Cómo corregir los problemas más habituales

  • Sin política DMARC

    Publica un registro TXT en _dmarc.yourdomain.com, por ejemplo v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, para empezar a recibir informes. Cuando los informes muestren que todos los servicios que envían en tu nombre superan SPF o DKIM, pasa a p=quarantine y después a p=reject.

  • HTTP no redirige a HTTPS

    Activa la opción de forzar HTTPS en tu hosting o tu CDN, o añade una redirección 301 de http:// a https:// para todas las rutas. Cuando HTTPS funcione en todas partes, añade una cabecera Strict-Transport-Security.

  • Faltan cabeceras de seguridad

    Empieza por X-Content-Type-Options: nosniff, una Referrer-Policy como strict-origin-when-cross-origin y frame-ancestors en una Content Security Policy (o X-Frame-Options) para impedir que otros sitios inserten tus páginas en marcos. Una Content Security Policy completa requiere pruebas, así que empieza con Content-Security-Policy-Report-Only.

  • jQuery o Lodash desactualizados

    Actualiza a una versión actual o elimina la biblioteca si nada la usa. En WordPress, las copias antiguas suelen proceder de un tema o un plugin que incluye la suya propia, así que la solución es actualizar o sustituir ese plugin.

  • SPF con demasiadas consultas

    SPF permite como máximo 10 consultas DNS. Elimina las entradas include: de servicios que ya no usas, evita los include anidados siempre que puedas y asegúrate de que el dominio publica un único registro SPF.

  • Sin una llamada a la acción clara

    Coloca una acción principal, como «Reserva una demo», «Pide presupuesto» o «Ver las novedades», en la primera pantalla de la página de inicio, como un enlace o un botón real con un texto específico, y repítela después de las secciones clave.

Preguntas sobre esta herramienta

¿Qué incluye la auditoría web gratis?

La página que introduces y hasta cuatro páginas clave, probadas en un navegador real, además de comprobaciones de todo el sitio sobre robots.txt, el sitemap, el certificado, las cabeceras de respuesta y los registros DNS. Los resultados se presentan en siete áreas, cada una con sus hallazgos más importantes.

¿Cuánto tarda?

Aproximadamente un minuto en la mayoría de los sitios, ya que se cargan y se prueban cinco páginas. Si la misma dirección se analizó en la última hora, es posible que se reutilicen esos resultados.

¿Es seguro ejecutar la comprobación de seguridad en un sitio en producción?

Sí. Solo lee lo que muestran el navegador de un visitante y el DNS público: el certificado, las cabeceras, las cookies, los scripts y los registros. Nunca prueba contraseñas, sondea rutas ocultas ni envía tráfico de ataque.

¿Cómo se detecta el tipo de sitio web?

A partir de evidencias públicas de tus páginas: datos estructurados, etiquetas generator, scripts y las palabras de los enlaces y los botones. Cada clasificación tiene un nivel de confianza y muestra sus evidencias, así que es fácil detectar una suposición errónea.

¿Por qué se probaron menos de cinco páginas?

Las páginas clave se eligen entre los enlaces de la página que introduces. En un sitio pequeño, o cuando una página redirige a otro sitio, devuelve un error o está bloqueada, se pueden probar menos páginas.

¿Con qué informe de pago debería empezar?

Con el del área cuyos problemas más te importan. Cada área de la auditoría enlaza a su informe, que prueba más páginas o ejecuta pruebas adicionales e incluye la solución para cada hallazgo.

Fuentes

Herramientas relacionadas