Busca “lista de mantenimiento web” y siempre sale la misma lista. Actualiza tus plugins. Revisa los enlaces rotos. Haz una copia de seguridad. Renueva tu dominio. No está mal. Es solo la parte que todos ya conocen, y se salta las verificaciones que de verdad detectan problemas antes de que te cuesten un cliente.
Esta es una lista distinta. Es la que ejecutamos sobre un sitio, agrupada tal como la ejecuta nuestro propio Chequeo de Salud del Sitio. Cada punto incluye qué es, por qué importa, y cómo revisarlo tú mismo gratis.
Algo que dejar claro desde el inicio, porque mantiene honesta toda la lista: estas verificaciones leen tu página de inicio pública y tus registros DNS públicos. No inician sesión en nada, no rastrean todas las páginas, y no detectarán una página que ya esté hackeada por dentro. Esta lista te dice si la puerta de entrada y las cerraduras están firmes. No puede decirte si alguien ya está adentro.
La lista tiene dos mitades: seguridad y confianza, y luego velocidad y calidad.
Parte 1: Seguridad y confianza
Nueve verificaciones. Las dos primeras confirman que el sitio y su correo siquiera existen. Las cinco del medio son sobre confianza, sobre todo el correo, que es donde los negocios pequeños pierden más en silencio. Las dos últimas son sobre ser accesible.
1. ¿El sitio está realmente en línea?
La verificación más básica: ¿el dominio resuelve a un servidor? Un solo registro DNS vencido, y el sitio simplemente desaparece, sin ningún error que te avise. Carga tu página de inicio en una ventana privada. Si no aparece, nada más de esta lista importa todavía.
2. ¿El dominio puede recibir correo?
Un dominio necesita un registro MX para aceptar correo. Los negocios pierden esto al cambiar de proveedor de correo y se cae un registro. De repente cada respuesta a tu dirección rebota, y te enteras por un cliente molesto. Si usas correo en tu dominio, confirma que todavía puede recibir.
3. SPF: quién puede enviar en tu nombre
SPF enumera qué servidores pueden enviar correo usando tu dominio. Dos cosas lo rompen. O no hay registro, o, más a escondidas, hay dos. Los servidores receptores descartan por completo los registros SPF duplicados, así que “tenemos SPF” puede ser falso sin que lo sepas. Verifica que tengas exactamente un registro y que nombre cada servicio desde el que de verdad envías. Nuestro verificador de SPF gratuito te lo muestra.
4. DMARC: qué pasa cuando un mensaje falla
DMARC les dice a los servidores receptores qué hacer con el correo que falla tus verificaciones: nada (p=none), enviarlo a spam (quarantine) o rechazarlo (reject). En diciembre de 2025, el 83,9% de los dominios no tenía ningún registro DMARC. Dos detalles que la mayoría de los verificadores se salta: una política de subdominio en sp=none deja tus subdominios suplantables, y una dirección rua que no apunta a ningún lado hace que tus informes de fallos desaparezcan. El verificador de DMARC gratuito lo lee todo.
5. DKIM: ¿tus remitentes de verdad firman?
DKIM es la firma que prueba que un correo vino realmente de ti. SPF dice quién puede enviar. DKIM prueba que lo hizo. La brecha es común: un servicio está autorizado en SPF pero no está firmando de verdad, así que su correo es más débil de lo que crees. Una verificación real prueba las firmas por defecto de los servicios que usas, como Google Workspace, Microsoft 365, SendGrid, Mailchimp y Resend, y confirma que estén activas.
6. CAA: quién puede emitir certificados para tu dominio
Un registro CAA limita qué autoridades de certificación pueden emitir un certificado SSL para tu dominio. Sin él, cualquiera puede, lo que abre más la puerta a un certificado mal emitido. Es un registro pequeño que la mayoría de los sitios nunca configura, y configurarlo es una mejora de seguridad silenciosa.
7. SSL: ¿el certificado es realmente válido?
“Tiene candado” no es lo mismo que “válido”. Un certificado puede estar vencido, cubrir el nombre de host equivocado o tener una cadena rota, y cualquiera de esas cosas dispara la advertencia a pantalla completa de “tu conexión no es privada” que manda a los visitantes de vuelta a la búsqueda. Una verificación real confirma que el certificado valide en un navegador, nombre de host y cadena incluidos, y cuántos días le quedan antes de expirar. Corre el verificador de SSL gratuito.
8. Viewport móvil: ¿el teléfono sabe cómo mostrar la página?
Una etiqueta pequeña, la etiqueta meta viewport, le dice al teléfono cómo distribuir tu página. Sin ella, los visitantes móviles ven un diseño de escritorio diminuto y alejado que tienen que ampliar para leer. La mayoría se rinde. Es un arreglo de una línea que es fácil perder en un rediseño.
9. robots.txt y acceso de IA: ¿los rastreadores pueden llegar a ti?
Tu archivo robots.txt controla quién puede leer tu sitio. Verifica que exista, que Googlebot y Bingbot puedan llegar a tu página de inicio, y, cada vez más importante, que los rastreadores de IA no estén bloqueados. Cuando alguien le pide a ChatGPT o a Perplexity un negocio como el tuyo, la IA primero tiene que poder entrar. Nuestro verificador de rastreadores de IA prueba siete de ellos a la vez, incluidos GPTBot, ClaudeBot, PerplexityBot y Google-Extended, y el verificador de robots.txt cubre los rastreadores de búsqueda.
Parte 2: Velocidad y calidad
La segunda mitad es sobre la experiencia una vez que llega un visitante. Estas vienen de PageSpeed Insights de Google, ejecutado en móvil, y puedes obtenerlas de nuestro test de velocidad gratuito.
Hay cuatro puntuaciones sobre 100:
- Velocidad (Rendimiento): qué tan rápido carga de verdad la página en un teléfono de gama media.
- Accesibilidad: si las personas que usan lectores de pantalla o navegación por teclado pueden usar la página.
- Bien construida (Buenas prácticas): si la página sigue las reglas modernas que los navegadores esperan.
- Fundamentos de búsqueda (SEO): si están en su lugar los básicos que buscan los buscadores.
Debajo de las puntuaciones, tres números te dicen cómo se siente de verdad la carga:
- LCP (Largest Contentful Paint): cuánto tarda en aparecer el contenido principal.
- CLS (Cumulative Layout Shift): cuánto salta la página mientras carga.
- TBT (Total Blocking Time): cuánto tiempo la página está congelada y sin responder a los toques.
Luego las alertas de usabilidad móvil, que son las que te cuestan ventas en silencio en un teléfono: botones colocados demasiado juntos, texto más pequeño que 12px, y contenido que se sale más ancho que la pantalla y obliga a desplazarse de lado.
Los límites honestos, otra vez
Vale repetirlo, porque es la diferencia entre una lista útil y una falsa sensación de seguridad. Todo lo de arriba lee tu página de inicio pública y tus registros DNS públicos. No iniciará sesión en tu sitio, no rastreará todas las páginas, ni detectará una página que ya esté comprometida. Trata un resultado limpio como “la puerta de entrada está firme”, no como “no hay nada mal en ningún lado”.
Algunas cosas también quedan fuera de esta verificación central a propósito, y tienen sus propias herramientas gratuitas si las quieres: tus redirecciones, tus encabezados de seguridad y tus etiquetas de vista previa social. Útiles, pero separadas del chequeo de salud de arriba.
Con qué frecuencia ejecutar cada una
El mantenimiento no es un evento anual, porque las cosas de esta lista fallan según su propio calendario:
- Certificado y DNS: mensual. Los certificados vencen en una fecha fija, y un cambio de proveedor puede tirar un registro en cualquier momento.
- Correo (SPF, DKIM, DMARC): después de cualquier cambio en tu correo o herramientas de envío, y mensual el resto del tiempo.
- Acceso de IA y búsqueda: mensual, y cada vez que toques robots.txt.
- Velocidad y móvil: después de cualquier rediseño o gran adición de contenido.
Si eso suena a una tarea permanente, es porque lo es. Es una tarea real, y es la razón por la que el mantenimiento se salta.
O delega toda la lista
Puedes ejecutar cada verificación de aquí tú mismo, gratis, y deberías hacerlo al menos una vez. La trampa es el mes que viene, y el siguiente, porque los certificados vencen, los registros se desajustan y las reglas de los rastreadores cambian, te acuerdes de mirar o no.
Ese trabajo continuo es lo que hace Surmado. Tú no operas una herramienta de listas. Scout reconstruye tu sitio sobre una base donde esto está bien configurado desde el primer día, y luego lo mantiene así: certificado válido, correo autenticado, rastreadores de IA con acceso, velocidad en rango. Nada de esta lista se convierte en tu problema de domingo por la noche. Si quieres el sitio entero resuelto, eso es Surmado Sites.
Lecturas relacionadas: