≡En resumen
- Las cabeceras HTTP son metadatos que viajan con cada respuesta del servidor y el usuario no las ve en la página.
- Un análisis de cabeceras confirma si una URL devuelve 200, redirige con 301 o 302, o da error 404 o 5xx.
- Cabeceras como X-Robots-Tag o Link rel=canonical pueden desindexar o canonicalizar una URL sin tocar el HTML.
- Cache-Control, ETag y las cabeceras de seguridad (HSTS, CSP) influyen en la velocidad y la protección de la web.
- Se hace en segundos con curl, las herramientas del navegador o la Inspección de URLs de Search Console.
01 ¿Qué es el análisis de cabecera HTTP del servidor?
HTTP (protocolo de transferencia de hipertexto) funciona con peticiones y respuestas. En ambas, las cabeceras permiten a cliente y servidor enviar información adicional: el nombre de la cabecera no distingue mayúsculas, va seguido de dos puntos y de su valor. Hoy la semántica del protocolo está recogida en la RFC 9110, publicada por el IETF en junio de 2022.
Para entender los fundamentos, el tutorial Cabeceras HTTP para Dummies repasa métodos, códigos de estado y cabeceras con ejemplos en PHP. En SEO, sin embargo, nos interesan sobre todo las cabeceras de respuesta: son las que lee Googlebot.
02 Qué cabeceras revisar y qué revelan
| Cabecera | Qué indica | Por qué importa |
|---|---|---|
| Línea de estado (200, 301, 404…) | Resultado de la petición | Decide si Google usa, redirige o descarta la URL |
| Location | URL de destino de una redirección | Detecta cadenas y bucles de redirecciones |
| X-Robots-Tag | Directivas para robots (noindex, nofollow…) | Puede desindexar PDF, imágenes o páginas sin tocar el HTML |
| Link: <…>; rel="canonical" | URL canónica de un recurso | Útil en archivos no HTML como PDF |
| Cache-Control, ETag, Last-Modified | Reglas de caché y validación | Afecta al tiempo de carga y a las visitas repetidas |
| Content-Type | Tipo MIME y codificación | Un tipo erróneo rompe el renderizado o la lectura |
| Strict-Transport-Security (HSTS) | Obliga a usar HTTPS | Evita conexiones inseguras por HTTP |
| Content-Security-Policy, X-Content-Type-Options, X-Frame-Options | Políticas de seguridad del navegador | Reducen ataques XSS, clickjacking y MIME sniffing |
| Server, X-Powered-By | Software y versión del servidor | Mostrar versiones da pistas a posibles atacantes |
Las cabeceras de petición también cuentan. User-Agent identifica al cliente (un navegador o Googlebot), Accept-Language indica el idioma preferido e If-Modified-Since permite al servidor responder 304 Not Modified si el recurso no ha cambiado. Si el servidor responde distinto según estas cabeceras, lo correcto es declararlo con Vary para que las cachés intermedias no mezclen versiones.
03 Códigos de estado HTTP y cómo los trata Google
| Código | Significado | Qué hace Google |
|---|---|---|
| 2xx (200) | Éxito | Pasa el contenido a indexación, aunque indexar no está garantizado |
| 301 y 308 | Redirección permanente | Señal fuerte de que la URL de destino debe ser la canónica |
| 302 y 307 | Redirección temporal | Señal débil: suele mantener la URL original |
| 404 y 410 | No encontrado / eliminado | Retira las URL ya indexadas y reduce poco a poco su rastreo |
| 429 | Demasiadas peticiones | Lo trata como error de servidor, no de cliente |
| 5xx (500, 503) | Error del servidor | Ralentiza el rastreo; si persiste, acaba eliminando las URL |
10
saltos de redirección como máximo sigue Googlebot
Fuente: Google Search Central
RFC 9110
norma vigente de semántica HTTP (junio de 2022)
Fuente: IETF
Una página de error que responde con código 200 en lugar de un error 404 Not Found es un «soft 404»: el usuario ve un mensaje de error, pero el servidor dice que todo va bien. Solo el análisis de cabeceras lo delata.
04 ¿Para qué sirve analizar las cabeceras HTTP?
SEO técnico
Confirma que cada URL devuelve el código correcto, que las redirecciones son de un solo salto y que no hay un noindex escondido en X-Robots-Tag.
Migraciones y cambios de dominio
Verifica que las URL antiguas redirigen con 301 a su equivalente exacta y no a la portada.
Detección de cloaking
Ayuda a comprobar si el servidor responde distinto según el agente de usuario, una práctica que Google considera spam.
Rendimiento
Revela recursos sin caché, compresión ausente o validadores mal configurados que alargan la carga.
Seguridad
Muestra si faltan HSTS o CSP y si el servidor expone su software y versión.
El cloaking, mostrar a los buscadores algo distinto de lo que ve el usuario, suele empezar precisamente con redirecciones condicionadas que solo se ven en las cabeceras. Y en rendimiento, unas buenas cabeceras de caché son una de las primeras palancas de la optimización de la velocidad web.
05 Cómo hacer un análisis de cabecera HTTP paso a paso
-
1
Lanza una petición HEAD con curl
En la terminal, curl -I https://tudominio.com/ muestra el código de estado y las cabeceras. Añade -L para seguir las redirecciones y ver cada salto.
-
2
Usa las DevTools del navegador
Abre la pestaña Red (Network), recarga la página, selecciona el documento y revisa las cabeceras de respuesta y de petición.
-
3
Compara con lo que ve Google
En la Inspección de URLs de Search Console, pulsa Ver página rastreada: ahí aparecen los encabezados HTTP que recibió Googlebot.
-
4
Revisa en bloque con un rastreador
En webs grandes, un rastreador SEO lista el código de estado, las redirecciones y X-Robots-Tag de miles de URL a la vez.
-
5
Documenta y corrige
Anota cada problema con su URL, la cabecera afectada y la corrección propuesta, y vuelve a comprobar tras el cambio.
06 Errores habituales que destapa el análisis
- ✓Cadenas de redirecciones: http → https → www → URL final, tres saltos donde bastaba uno.
- ✓Redirecciones 302 para cambios permanentes, que retrasan la consolidación de señales.
- ✓Un X-Robots-Tag: noindex heredado del entorno de pruebas tras publicar la web.
- ✓Páginas de error que devuelven 200 (soft 404) o páginas válidas que devuelven 404.
- ✓Canonical en la cabecera que contradice al canonical del HTML.
- ✓Recursos estáticos con Cache-Control: no-store que se descargan en cada visita.
- ✓Ausencia de HSTS en una web que ya funciona solo con HTTPS.
- ✓Cabeceras Server o X-Powered-By que exponen la versión exacta del software.
Casi todos estos fallos se corrigen en la configuración del servidor (.htaccess, Nginx) o en el CMS. Si lo que encuentras son redirecciones mal hechas, tienes la guía para hacer una redirección 301 en tu web con Apache, WordPress y Nginx. Y si el análisis de cabeceras es solo la punta del iceberg, lo sensato es encargar una auditoría SEO técnica completa que incluya rastreo, indexación y rendimiento.
07 Ejemplo práctico: una migración a HTTPS
Una tienda online migra a HTTPS y nota que Google tarda en reconocer las URL nuevas. Con curl -IL http://tienda.com/zapatillas/ aparece esta secuencia:
301→https://tienda.com/zapatillas/302→https://www.tienda.com/zapatillas/200en la URL final, conX-Robots-Tag: noindex
Diagnóstico: dos saltos, uno de ellos temporal, y un noindex olvidado en la cabecera. Solución: una única redirección 301 directa a la versión final con www y HTTPS y la eliminación de la cabecera noindex. Tras volver a solicitar la indexación, Search Console muestra la URL canónica correcta.
Preguntas frecuentes sobre Análisis de cabecera HTTP del servidor
Es un par nombre-valor que el navegador o el servidor envían junto a una petición o una respuesta para aportar información adicional, como el tipo de contenido, las reglas de caché o la URL de una redirección.
Sirve para comprobar que cada URL devuelve el código de estado correcto, que las redirecciones son directas y permanentes cuando deben serlo y que ninguna cabecera X-Robots-Tag bloquea la indexación por error.
Con el comando curl -I seguido de la URL, en la pestaña Red de las herramientas para desarrolladores del navegador o, para ver lo que recibe Google, en Ver página rastreada dentro de la Inspección de URLs de Search Console.
La 301 indica un cambio permanente y Google la trata como señal fuerte para indexar la URL de destino; la 302 es temporal y es una señal débil, por lo que Google suele mantener la URL original.
Según Google Search Central, Googlebot sigue hasta 10 saltos de redirección. Aun así, conviene que cada redirección sea de un solo salto para no perder tiempo de rastreo ni velocidad.
Es una cabecera de respuesta que da a los buscadores las mismas directivas que la metaetiqueta robots, como noindex o nofollow. Es la única forma de aplicarlas a archivos sin HTML, como PDF o imágenes.
Como mínimo, Strict-Transport-Security para forzar HTTPS, Content-Security-Policy para limitar los recursos que se cargan y X-Content-Type-Options: nosniff. X-Frame-Options o la directiva frame-ancestors de CSP evitan el clickjacking.
Fuentes consultadas
Sobre el autor
CEO de appyweb, especialista en SEO, IA y desarrollo
Fundador de appyweb. Más de una década posicionando webs y tiendas online en Google y en las respuestas de la IA, y dedicado también al desarrollo de software y las automatizaciones.
Ver perfil y artículos → Ver perfil en LinkedIn ↗