Casi todo lo que se escribe sobre posicionamiento habla de palabras clave, contenido y enlaces. Casi todo lo que se escribe sobre seguridad habla de virus y contraseñas. Rara vez alguien los junta, y es un error caro: un sitio inseguro no puede sostener un buen posicionamiento, por más contenido que tenga.
Puede pasar meses subiendo en Google y perderlo todo en una noche porque alguien entró por un complemento sin actualizar. Esto es lo que conviene saber antes de diseñar un sitio, o antes de invertir en posicionar uno que ya existe.
Cómo la seguridad afecta directamente a su posición
HTTPS es una señal de Google
Google confirmó hace años que usa HTTPS, el candado del navegador, como señal para ordenar resultados. Es una señal liviana, pero tiene un efecto indirecto mucho más fuerte: un sitio sin HTTPS aparece marcado como "No seguro" en el navegador.
Nadie deja sus datos, ni escribe por el formulario, ni compra en una página que su propio navegador le dice que no es segura. La gente se va, y Google nota que se va.
Un sitio hackeado recibe advertencias en los resultados
Cuando Google detecta que un sitio fue comprometido, puede mostrar una advertencia directamente en los resultados de búsqueda, o una pantalla roja de alerta cuando alguien intenta entrar. En ese momento el tráfico se desploma, no importa en qué posición estuviera.
Y salir de ahí no es inmediato: hay que limpiar el sitio, cerrar la puerta por la que entraron y pedirle a Google que lo revise de nuevo.
El spam inyectado: el hackeo que no se ve
Este es el más traicionero, porque el dueño muchas veces no se entera. Los atacantes no rompen el sitio: le agregan páginas escondidas con contenido de spam (medicamentos, apuestas, productos falsificados) y enlaces hacia sus propios sitios. Para el visitante normal todo se ve igual.
Pero Google sí las ve. De repente su dominio aparece en búsquedas de cosas que usted nunca vendió, su reputación ante Google cae, y el posicionamiento de sus páginas reales se hunde. En algunos casos Google aplica una penalización manual al dominio completo.
Cómo detectarlo: busque en Google site:sudominio.com y revise si aparecen páginas o títulos que no reconoce. Y revise en Search Console el informe de Problemas de seguridad y las búsquedas por las que lo están mostrando.
Un sitio caído no posiciona
Los ataques que sobrecargan un sitio hasta tumbarlo, o un servidor comprometido que se usa para mandar spam y termina bloqueado, dejan su página sin responder. Si Google intenta visitarla repetidamente y no puede, empieza a bajarla.
Por qué los sitios inseguros suelen ser también lentos
Hay una relación que no es casualidad. Un sitio lleno de complementos (uno para el formulario, otro para el carrusel, otro para las redes, otro para el SEO) es a la vez más lento y más vulnerable: cada complemento es código que se carga en cada visita y una puerta más que alguien tiene que mantener cerrada.
Menos complementos significa un sitio más rápido, que Google premia, y con menos superficie de ataque. La misma decisión mejora las dos cosas.
Cómo verificar la seguridad de su página web
Antes de invertir en posicionar un sitio conviene revisar que no tenga la puerta abierta. Estas revisiones las puede hacer usted, gratis:
- El certificado de seguridad. Haga clic en el candado junto a la dirección: tiene que decir que la conexión es segura y que el certificado está vigente. Pruebe también entrar con
http://y compruebe que lo lleve solo a la versión segura. - El informe de Navegación Segura de Google. Google tiene una página pública, dentro de su Informe de Transparencia, donde usted escribe su dominio y le dice si lo tiene marcado como peligroso.
- Search Console. El apartado de problemas de seguridad le avisa si Google detectó malware, contenido inyectado o páginas engañosas.
- Una búsqueda de
site:sudominio.com. Si aparecen páginas, títulos o idiomas que no reconoce, es la señal típica de spam inyectado. - Las versiones de todo lo instalado. Si usa WordPress u otro gestor, revise que el sistema, el tema y cada complemento estén en su última versión.
Si alguna de estas revisiones falla, eso se arregla antes de seguir invirtiendo en contenido o publicidad.
Lo que hay que cuidar al diseñar el sitio
La seguridad es mucho más barata si se piensa desde el diseño que si se agrega después de un problema.
1. Elegir la tecnología según el riesgo
No todos los sitios necesitan un sistema con base de datos y panel de administración. Un sitio de negocio que cambia poco puede construirse como sitio estático: se sirve HTML ya armado, sin base de datos que consultar en cada visita y sin panel expuesto a internet. Es más rápido y deja muy poco por dónde entrar.
Cuando el cliente necesita editar contenido todos los días, un gestor como WordPress tiene sentido, pero entonces hay que asumir el compromiso de mantenerlo actualizado.
2. HTTPS en todo el sitio, y una sola dirección
No alcanza con tener el certificado: todo el sitio tiene que cargar en HTTPS, y todas las variantes (con www, sin www, con http) tienen que redirigir de forma permanente a una sola. Además de cerrar huecos, eso evita que Google vea varias copias de su sitio y reparta la autoridad entre ellas.
3. Cabeceras de seguridad
Son instrucciones que el servidor le da al navegador: que siempre use conexión segura, que no permita que su sitio se incruste dentro de otro para engañar al visitante, que solo cargue código de orígenes autorizados. No se ven, pero bloquean tipos enteros de ataque. Casi ningún sitio de PYME las tiene configuradas.
4. Formularios que no sean una puerta
Los formularios de contacto son de los puntos más atacados: se usan para mandar spam masivo, para intentar inyectar código o para llenar su correo de basura. Hay que validar lo que llega, limitar los envíos y, cuando se pueda, no guardar datos que no hacen falta.
5. Cero credenciales dentro del código
Claves de API, contraseñas de base de datos o tokens de servicios nunca van escritas en el código del sitio. Si ese código queda en un repositorio público, las encuentran en horas. Van en variables de entorno del servidor, fuera de la vista de cualquiera.
6. Accesos mínimos
Solo tiene acceso de administrador quien lo necesita, cada persona con su propia cuenta y con verificación en dos pasos. Una cuenta compartida por todo el equipo es imposible de auditar y de cerrar cuando alguien se va.
7. Respaldos que se puedan restaurar
Si todo lo demás falla, un respaldo reciente y probado es lo que le devuelve el sitio en horas en vez de semanas. Tiene que estar guardado fuera del mismo servidor: si el servidor cae, un respaldo guardado ahí adentro cae con él.
Lo que hay que cuidar después de lanzarlo
- Actualizar el sistema y cada complemento. La mayoría de los sitios hackeados no caen por ataques ingeniosos, sino por una vulnerabilidad conocida que nunca se parchó.
- Borrar lo que no se usa: complementos desactivados, temas viejos, cuentas de ex colaboradores.
- Revisar Search Console cada tanto, en especial el informe de problemas de seguridad y las búsquedas por las que lo muestran.
- Vigilar que el dominio no se use para suplantarlo: los registros SPF, DKIM y DMARC evitan que manden correos haciéndose pasar por su empresa, algo que también daña la reputación del dominio.
Cómo lo aplicamos en nuestro propio sitio
No es teoría: este sitio está construido así. Es estático, sin base de datos expuesta; se sirve siempre por HTTPS con una sola dirección canónica; tiene cabeceras de seguridad que restringen qué código puede cargarse; las credenciales de servicios externos viven en variables del servidor y no en el código; y antes de cada publicación corre una revisión automática que busca, entre otras cosas, secretos filtrados y enlaces rotos.
Venimos de la ciberseguridad, y por eso lo tomamos como punto de partida y no como un agregado al final.
La idea para llevarse
El posicionamiento se construye con meses de trabajo y se puede perder en una noche. La seguridad es lo que protege esa inversión. Si está por hacer un sitio, pídale a quien lo construya que le explique cómo lo va a proteger. Si ya tiene uno y está invirtiendo en posicionarlo, revise primero que no tenga la puerta abierta.
En desarrollo web está cómo construimos con la seguridad desde el inicio, y en posicionamiento SEO cómo auditamos un sitio existente. Si le interesa la parte del negocio, vea también ciberseguridad para PYMES y por qué su página no aparece en Google.