HTTPS es hoy el estándar y evita avisos de «sitio no seguro»; las cabeceras de seguridad (HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy) protegen al visitante y reducen riesgos. No son un factor de posicionamiento directo, pero sí influyen en la confianza, en la prevención de problemas y en la calidad técnica general. Impleméntalas con prueba, porque una cabecera mal configurada puede romper el sitio.
Lo esencial
- HTTPS en todo el sitio con redirección permanente de http a https y un único host canónico.
- HSTS (Strict-Transport-Security): obliga al navegador a usar HTTPS; activa primero con un tiempo corto y súbelo cuando estés seguro.
- X-Content-Type-Options: nosniff: evita que el navegador adivine el tipo de archivo.
- Referrer-Policy: controla qué información de origen se envía a otros sitios.
- Permissions-Policy: limita funciones del navegador que el sitio no usa.
Lo que sí afecta a SEO
- Contenido mixto (recursos http en páginas https), que genera avisos y errores.
- Certificados vencidos o mal configurados, que impiden el acceso.
- Redirecciones entre http, https, www y sin www encadenadas.
- Bloqueos del firewall a rastreadores legítimos.
Mira el checklist antes de lanzar un sitio.
Content-Security-Policy: con cuidado
Una CSP bien diseñada reduce riesgos de inyección, pero es fácil romper scripts, estilos o medición si es demasiado estricta. Si tu cliente usa muchas integraciones (analítica, chat, formularios), prueba primero en modo de solo informe y ajusta. No es un requisito para empezar.
Cómo aplicarlas
En CDN o servidores modernos se configuran como cabeceras de respuesta; en plataformas estáticas, con un archivo de cabeceras. Verifica con herramientas de análisis de cabeceras y prueba el sitio completo, incluidos formularios y pasarelas de pago. Documenta qué se aplicó y por qué.
Cómo explicarlo al cliente
Preséntalo como mantenimiento de calidad: protege a los visitantes y reduce riesgos, no como una promesa de posicionamiento. Si quieres un panorama de seguridad en WordPress, mira cómo proteger un WordPress de ataques.
Un ejemplo práctico (ilustrativo)
Una agencia activa HSTS con un valor corto, añade nosniff y una política de referrer, prueba formularios y pagos y solo después aumenta el tiempo de HSTS. Es un escenario hipotético para ilustrar el método, no un caso real ni una promesa de resultados.
Checklist de cabeceras
- HTTPS con redirección única.
- HSTS gradual.
- X-Content-Type-Options.
- Referrer-Policy.
- Sin contenido mixto.
- CSP probada en modo informe.
- Prueba completa tras cambios.
¿Cómo puede ayudarte RankPro con esto?
RankPro revisa HTTPS, redirecciones y cabeceras de seguridad en los sitios de tus clientes sin afectar el posicionamiento.
Preguntas frecuentes
¿Las cabeceras de seguridad mejoran el posicionamiento?
No directamente; mejoran la seguridad y la calidad técnica.
¿HSTS puede causar problemas?
Sí si activas HTTPS de forma incompleta; empieza con valores bajos.
¿Necesito CSP?
No para empezar; es una capa avanzada que requiere pruebas.
¿Cómo reviso las cabeceras de un sitio?
Con herramientas de análisis de cabeceras o con curl.