Más de 40 puntos, en palabras sencillas: qué mira, por qué importa y qué significa si falla.
La revisión se divide en tres grupos —contenido, técnica y redes sociales y datos— y, además, la velocidad se mide por separado con las Core Web Vitals de Google, en móvil y en ordenador. Se muestran también dos comprobaciones de confianza que no cuentan para la puntuación.
Lo que Google, y el visitante, entienden de su página.
| Comprobación | Qué mira y por qué |
|---|---|
| Título de la página | ¿Hay título? Es la línea que la gente ve en los resultados de Google antes de decidir si hace clic. |
| Longitud del título | Demasiado corto no dice nada; demasiado largo se corta por la mitad. |
| Descripción (meta description) | El texto breve bajo el título. Si falta, Google escribe lo que encuentre. |
| Longitud de la descripción | Mismo motivo: debe caber y decir algo. |
| Un solo encabezado H1 | El título principal dentro de la página. Ninguno, o varios, desdibujan de qué trata la página. |
| Orden de los encabezados | Los encabezados deben seguir un orden (H1 → H2 → H3), como los capítulos de un libro. |
| Cantidad de texto | Una página casi vacía rara vez se posiciona para algo. |
| Descripciones de imágenes (alt) | Sin ellas Google no sabe qué muestra una foto, y tampoco lo sabe el lector de pantalla de un visitante ciego. |
| Enlaces internos | Las páginas que no se enlazan entre sí son páginas que nadie encuentra. |
Los cimientos. Cuando algo falla aquí, no importa lo bueno que sea el texto.
| Comprobación | Qué mira y por qué |
|---|---|
| Viewport | Si falta, la página se ve en un teléfono como una página de escritorio reducida. |
| HTTPS | Sin él, el navegador escribe «no seguro» junto a su nombre. |
| Noindex | Una etiqueta que le dice a Google «no me muestres». Se deja puesta por error con más frecuencia de lo que cabría pensar, y hace desaparecer un sitio entero. |
| Idioma de la página | Indica a Google y a las herramientas de traducción en qué idioma está escrita la página. |
| Canonical | Declara cuál es la dirección «oficial» cuando una página tiene variantes. |
| robots.txt | Las instrucciones para los buscadores. Si falta o está mal, puede cerrar puertas por error. |
| Sitemap | La lista de sus páginas. Sin ella, Google tiene que buscarlas por su cuenta. |
| Favicon | El pequeño icono de la pestaña del navegador. Es pequeño, pero es su identidad entre veinte pestañas abiertas. |
| Cadena de redirecciones | Cada «salto» adicional antes de que cargue la página cuesta tiempo y hace perder visitantes. |
| Enlaces vacíos | Enlaces que no llevan a ninguna parte: una experiencia rota y «peso» perdido para Google. |
Y una más que no cuenta para la puntuación: la página en un teléfono. Google lee la versión móvil, y algunos sitios ofrecen a los teléfonos una copia aparte (una caché móvil, por ejemplo). También abrimos la página como un teléfono y le avisamos si allí falta algo (título, descripción, texto) o si los iconos aparecerán como cuadraditos.
Y los ajustes del servidor, que tampoco cuentan para la puntuación: HTTP/2 (carga más rápida), compresión de las páginas, «conservar» archivos en el navegador para las visitas siguientes, un verdadero «404» cuando una página no existe (si no, Google puede listar páginas de error) y una única dirección principal —con o sin www—, redirigiendo la otra de forma permanente. A título informativo mostramos también HTTP/3 e IPv6.
Y el código HTML de la página, que tampoco cuenta para la puntuación: cada id usado una sola vez, etiquetas cerradas en el orden correcto, elementos solo donde HTML lo permite, atributos bien escritos y sin código obsoleto. Los navegadores suelen arreglárselas, pero un error así puede romper un formulario o un lector de pantalla. Leemos únicamente el código que la revisión ya ha descargado.
Lo que ve la gente cuando alguien comparte su página.
| Comprobación | Qué mira y por qué |
|---|---|
| og:title | El título que se muestra cuando su enlace se publica en Facebook, Viber o WhatsApp. |
| og:image | La imagen de vista previa. Sin ella, su enlace es una línea de texto gris. |
| Datos estructurados (JSON-LD) | Información en un lenguaje que leen las máquinas: qué tipo de negocio es, dónde está y cuál es su horario. |
Se mide por separado, con datos de Google, en móvil y en ordenador:
También se comprueba el peso de las imágenes, la causa más frecuente de una página lenta.
No cuentan para la puntuación, pero están entre las cosas que un propietario nunca ve por sí mismo.
| Comprobación | Qué mira y por qué |
|---|---|
| Rastreo antes del consentimiento | ¿Empiezan el Píxel de Facebook, Google Analytics o TikTok antes de que el visitante responda al aviso de cookies? Entonces el aviso es decoración y la multa del RGPD es real. Lo comprobamos en la página y con la propia medición de Google: un navegador real que nunca pulsa «Aceptar». |
| Botones de pago | Stripe y PayPal aceptan su script solo desde sus propios servidores. Si un plugin de velocidad hace una copia, Apple Pay y Google Pay desaparecen de la tienda sin ningún aviso. También miramos una página de producto, donde se cargan. |
No cuentan para la puntuación. Miramos solo lo que ve cualquier visitante y el DNS público; no buscamos archivos ocultos, páginas de acceso ni vulnerabilidades, ya que cualquiera puede añadir el sitio de otra persona a BeOnTop.
| Comprobación | Qué mira y por qué |
|---|---|
| Lista de sitios peligrosos de Google | Si Google ha incluido el sitio en su lista por virus o estafas (Safe Browsing). Entonces Chrome muestra a los visitantes una página roja de «Sitio peligroso» en lugar del sitio. |
| Certificado de seguridad (SSL) | Si es válido, si se emitió para la dirección correcta y cuántos días faltan para que caduque. Si caduca, los navegadores muestran una página de advertencia en lugar del sitio. |
| Detalles del certificado | Si su clave es lo bastante grande para ser segura, si el certificado funciona también en la dirección que alguien podría escribir en su lugar (con o sin www.) y si un registro CAA indica la única autoridad autorizada a emitir certificados para el dominio (opcional). |
| Ajustes de conexión segura (TLS) | Qué versiones de TLS acepta el servidor: las modernas TLS 1.3 y 1.2, y si aún acepta las antiguas TLS 1.0/1.1 (retiradas en 2021). Cuatro conexiones breves, como las de un navegador; no se envía nada más. |
| http:// redirige a https:// | ¿Quien escribe la dirección sin «https» termina en el sitio seguro? |
| Caducidad del dominio | Cuándo caduca el propio dominio, según lo publica su registro. Un dominio que caduca se lleva consigo el sitio y el correo, así que unos días antes enviamos además un correo urgente. .gr, .eu y .cy no publican la fecha. |
| DNSSEC (DNS firmado) | Si el dominio está firmado, para que nadie pueda falsificar sus respuestas DNS y, sobre todo, que la firma no esté rota: entonces muchos proveedores de internet se niegan a encontrar el sitio. Un dominio sin DNSSEC es lo habitual y no pierde puntos. |
| Archivos inseguros en una página segura | Scripts, estilos o imágenes desde direcciones http://: los navegadores los bloquean o muestran «no seguro». |
| Plugins con vulnerabilidades conocidas | Para sitios WordPress: las versiones de los plugins y del tema, tal como aparecen en las direcciones de los archivos de la página, comparadas con vulnerabilidades de seguridad de conocimiento público (datos: Wordfence Intelligence, © Defiant Inc.). No se muestra para los sitios de la competencia. |
| Versiones de software | PHP que ya no recibe correcciones de seguridad, WordPress que la propia WordPress.org califica de «inseguro» y software que ya no cuenta con ningún soporte (Windows/IIS anterior a 10, Apache 2.2, Drupal anterior a 10, Joomla anterior a 5). |
| Bibliotecas JavaScript | jQuery, jQuery UI, Bootstrap, AngularJS y Lodash en versiones con vulnerabilidades conocidas o sin soporte, tal como aparecen en las direcciones de los archivos de la página. No se abre ningún archivo por separado. |
| Correo que se hace pasar por usted | Los registros SPF y DMARC del dominio: sin ellos, cualquiera puede enviar correos que parecen proceder de su negocio. |
| Firma de su correo (DKIM) | Si el correo del dominio sale firmado por un proveedor conocido (Google, Microsoft 365, SendGrid, Mailchimp y otros). Gmail y Outlook confían más en el correo firmado. |
| Listas de spam (listas negras) | Si su servidor de correo o el servidor del sitio figura en una lista de spam (SpamCop, PSBL, Mailspike): entonces gran parte de su correo va a la carpeta de spam o rebota. Solo una consulta DNS a cada lista; no se envía nada al sitio. |
| HSTS, cabeceras de protección, cookies | Pequeños ajustes del servidor que hacen al navegador más cuidadoso. De las cookies leemos solo los nombres y los indicadores, nunca su contenido. |
Cada hallazgo viene con una explicación y una solución sugerida. Puede pasarlos tal cual a quien se ocupe de su sitio web o, si funciona con WordPress, dejar que BeOnTop escriba por sí mismo las descripciones de imagen que faltan. Consulte la guía.