headers.hsts_debil
Que la cabecera HSTS dure al menos un año e incluya los subdominios.
Por qué importa
Un HSTS con poca duración o sin includeSubDomains deja huecos: el navegador olvida pronto que tu web es solo https y los subdominios siguen pudiendo entrarse por http. No influye directamente en el posicionamiento.
Cómo se corrige
Sube el max-age a un año (31536000) y añade includeSubDomains, siempre que todos tus subdominios funcionen por https: Strict-Transport-Security: max-age=31536000; includeSubDomains.
Paso a paso: el prompt para tu IA
Cuando Seotres encuentra este problema en tu web, te da un prompt listo para pegar en la IA que uses, con los datos de tu página. Este es el de esta regla con una web de ejemplo (tudominio.com):
Problema: la cabecera Strict-Transport-Security (HSTS) dura poco o no cubre los subdominios.
Datos de tu web: Aquí van la página y la evidencia que ha encontrado Seotres.
Objetivo
Que tudominio.com envíe por https «Strict-Transport-Security: max-age=31536000; includeSubDomains» (un año, subdominios incluidos).
Pasos
- Antes de añadir includeSubDomains, pregúntame si todos los subdominios de la web funcionan por https: con la cabecera, los que no lo hagan dejarían de abrirse.
- No añadas preload sin preguntarme: es muy difícil de deshacer.
- Si la web es código propio o un servidor que gestionas: añádela en la configuración del servidor (Nginx, Apache…), del CDN o del framework (por ejemplo, la configuración de cabeceras de Next.js o de tu alojamiento).
- Si usas WordPress: suele ponerse desde el alojamiento, desde un plugin de seguridad o de caché, o en el archivo .htaccess si el servidor es Apache.
- Si usas Shopify, Wix, Squarespace u otra plataforma cerrada: las cabeceras las controla la plataforma y normalmente no se pueden cambiar; si es así, dímelo en vez de buscar trucos.
Límites
- No subas el max-age ni añadas includeSubDomains sin confirmarme antes que todo el dominio y sus subdominios sirven https.
Antes de volver a Seotres
Para comprobarlo antes de volver a Seotres, mira las cabeceras de la respuesta en las herramientas para desarrolladores del navegador (pestaña Red).
Términos de esta regla
- Cabeceras HTTP
Datos que el servidor envía junto a cada página, sin que se vean en ella: tipo de archivo, caché, seguridad…
Ejemplo: «Content-Encoding: gzip» indica que la página viaja comprimida.
Fuente: MDN Web Docs: cabeceras HTTP
- HSTS
Cabecera que pide al navegador entrar siempre en tu web por HTTPS, nunca por HTTP.
Ejemplo: «Strict-Transport-Security: max-age=31536000» la mantiene un año.
- HTTPS
La versión cifrada de HTTP: lo que viaja entre el navegador y tu web no se puede leer ni alterar por el camino.
Ejemplo: https://tudominio.com en lugar de http://tudominio.com.
Fuente: MDN Web Docs: HTTPS
Fuente oficial
https://developer.mozilla.org/es/docs/Web/HTTP/Headers/Strict-Transport-Security