headers.hsts
Que la página se sirva con la cabecera HSTS (Strict-Transport-Security) y un max-age de al menos 6 meses.
Por qué importa
HSTS le dice al navegador que use siempre HTTPS con tu dominio. Sin él, la primera visita puede empezar por HTTP y quedar expuesta a una redirección interceptada. No influye directamente en el posicionamiento.
Cómo se corrige
Añade la cabecera Strict-Transport-Security con max-age de al menos 15552000 segundos (6 meses), por ejemplo max-age=31536000. Actívala solo cuando todo el sitio funcione bien por HTTPS.
Paso a paso: el prompt para tu IA
Cuando Seotres encuentra este problema en tu web, te da un prompt listo para pegar en la IA que uses, con los datos de tu página. Este es el de esta regla con una web de ejemplo (tudominio.com):
Problema: la cabecera Strict-Transport-Security (HSTS) falta o es débil.
Datos de tu web: Aquí van la página y la evidencia que ha encontrado Seotres.
Objetivo
Que tudominio.com envíe por https «Strict-Transport-Security: max-age=31536000» (un año). Seotres la da por buena con un max-age de 15552000 (180 días) o más.
Pasos
- Comprueba antes que toda la web, incluidos los subdominios que vayas a cubrir, funciona por https: HSTS obliga al navegador a usar siempre https.
- No añadas includeSubDomains ni preload sin preguntarme: si algún subdominio no tiene https, dejaría de funcionar.
- Si la web es código propio o un servidor que gestionas: añádela en la configuración del servidor (Nginx, Apache…), del CDN o del framework (por ejemplo, la configuración de cabeceras de Next.js o de tu alojamiento).
- Si usas WordPress: suele ponerse desde el alojamiento, desde un plugin de seguridad o de caché, o en el archivo .htaccess si el servidor es Apache.
- Si usas Shopify, Wix, Squarespace u otra plataforma cerrada: las cabeceras las controla la plataforma y normalmente no se pueden cambiar; si es así, dímelo en vez de buscar trucos.
Antes de volver a Seotres
Para comprobarlo antes de volver a Seotres, mira las cabeceras de la respuesta en las herramientas para desarrolladores del navegador (pestaña Red).
Términos de esta regla
- Cabeceras HTTP
Datos que el servidor envía junto a cada página, sin que se vean en ella: tipo de archivo, caché, seguridad…
Ejemplo: «Content-Encoding: gzip» indica que la página viaja comprimida.
Fuente: MDN Web Docs: cabeceras HTTP
- HSTS
Cabecera que pide al navegador entrar siempre en tu web por HTTPS, nunca por HTTP.
Ejemplo: «Strict-Transport-Security: max-age=31536000» la mantiene un año.
- HTTPS
La versión cifrada de HTTP: lo que viaja entre el navegador y tu web no se puede leer ni alterar por el camino.
Ejemplo: https://tudominio.com en lugar de http://tudominio.com.
Fuente: MDN Web Docs: HTTPS
- Redirección
Respuesta del servidor que manda al visitante, y al robot, de una dirección a otra.
Ejemplo: tudominio.com/ofertas redirige a tudominio.com/rebajas.
Fuente: Google Search Central: redirecciones y la Búsqueda de Google
Fuente oficial
https://developer.mozilla.org/es/docs/Web/HTTP/Headers/Strict-Transport-Security