Qué miramos en una auditoría de seguridad y rendimiento de 72 horas

Cuando alguien nos pide una auditoría, casi siempre espera una opinión sobre el diseño: los colores, la tipografía, si el botón debería ser más grande. Eso no es lo primero que miramos, y casi nunca es lo que más le está costando dinero.

Lo primero que miramos es lo que el navegador tiene que descargar y ejecutar antes de que el visitante vea nada, y quién puede acceder a qué dato una vez dentro. Son las dos cosas que no se ven a simple vista y las dos que más rápido se traducen en visitas perdidas o en un disgusto serio.

El peso de la página, antes que nada

El error más caro y más común que encontramos es contenido pesado incrustado directamente en el HTML — sobre todo imágenes convertidas a texto y pegadas dentro de la página en lugar de servidas como archivo aparte. Es fácil de introducir sin darse cuenta y muy caro de mantener: el navegador tiene que descargar y procesar ese bloque entero antes de poder mostrar el resto de la página, y ningún sistema de caché puede ayudar porque, para el navegador, no es una imagen — es texto que forma parte del documento.

La corrección es siempre la misma: sacar el archivo, comprimirlo a un formato moderno, servirlo con una ruta propia y dejar que el navegador decida cuándo cargarlo según lo que el visitante esté viendo en pantalla. Lo aplicamos primero en nuestros propios proyectos — si vendemos rendimiento y nuestras páginas pesan de más, no tenemos nada que enseñar.

Una auditoría de rendimiento que no empieza midiendo cuántos megabytes tiene que bajar el móvil de un cliente antes de ver el precio no ha empezado por lo importante.

Quién puede ver qué, y quién puede cambiarlo

Después de rendimiento, permisos. Con la consola de desarrollador abierta y una cuenta de bajo privilegio, miramos qué responde el servidor cuando se le pide un dato que ese usuario no debería ver. La pregunta no es qué muestra la pantalla — es qué llega por la red, aunque la pantalla lo oculte con estilos.

• Si un empleado puede ver el margen o el coste de compra aunque la interfaz no lo pinte.
• Si los formularios de contacto aceptan entradas que no deberían y qué hace el sistema con ellas.
• Si el borrado de un registro es de verdad o si el histórico que depende de él se pierde con un clic.
• Si las copias de seguridad existen, con qué frecuencia y si alguien las ha comprobado alguna vez.

SEO técnico: lo aburrido que sí importa

No hablamos de palabras clave. Hablamos de si la página tiene una única URL canónica correcta, si los datos estructurados describen lo que de verdad se vende, y si el sitio existe en el mapa que los buscadores usan para encontrarlo. Son quince minutos de revisión que, mal hechos, dejan un negocio invisible durante meses sin que nadie note por qué.

El informe: prioridad, no solo lista

Entregamos cada hallazgo ordenado por lo que cuesta arreglarlo frente a lo que cuesta dejarlo como está. Un fallo de permisos grave va primero aunque tarde cinco minutos en corregirse; una mejora estética va al final aunque parezca más vistosa en una captura de pantalla.

El informe no obliga a nada. Puedes aplicarlo tú, con tu proveedor actual o con nosotros — el objetivo es que sepas exactamente qué está pasando en tu web, no venderte el siguiente paso.