Auditoría WordPress: el escáner que te dice qué tocar y comprueba que está arreglado

«Auditoría WordPress», explicado sin rodeos

Cuando buscas «auditoría WordPress» o «analizar web WordPress», no quieres una definición. Quieres saber qué falla en tu web y, sobre todo, qué hacer después. Casi todo lo que encuentras responde a la primera mitad.

Muchas guías enumeran treinta puntos que revisar y dan consejos ciertos pero genéricos —«optimiza las imágenes», «instala una caché»— y ahí se quedan. Cierras la pestaña sabiendo qué revisar, pero no qué está roto en tu web ni cómo arreglarlo. Ese es el hueco que cubre esta página. «Optimiza las imágenes» no te sirve de nada; «abre tu plugin de optimización de imágenes, activa la conversión a WebP, lanza la optimización masiva de la biblioteca de medios y vuelve a analizar» sí.

El ciclo tiene tres pasos, y de eso trata esta página:

1. Diagnóstico: el escáner encuentra los problemas y los ordena por gravedad.
2. Corrección: para cada uno, el plugin o el ajuste de WordPress exacto que hay que cambiar.
3. Prueba: un nuevo análisis que muestra la puntuación antes y después. Sin él, nunca sabes si has arreglado el problema o solo lo has movido de sitio.

Qué mira el escáner y qué correcciones rápidas salen ya en la auditoría gratuita

Seis áreas. La auditoría gratuita te da la puntuación de cada una y los cinco problemas más graves. Para cada área, esta es la corrección rentable que más se repite: la que puedes hacer este fin de semana.

Muchas herramientas se quedan en esta lista de correcciones genéricas. El resto de la página va más allá: el cambio preciso en WordPress, problema por problema.

Cómo se calcula la puntuación y qué no dice

Mejor dejarlo por escrito, porque la pregunta sale siempre: ¿de dónde sale este número?

Cada área parte de 100 puntos. Cada comprobación que falla resta un número fijo de puntos según su gravedad: un punto por mejorar resta poco (entre 3 y 8 puntos en casi todos los casos), uno crítico resta mucho (de 8 a 30). La puntuación de un área nunca baja de 0 ni pasa de 100. La puntuación global es la media de las áreas, redondeada. Si la web no funciona con WordPress, el área WordPress no cuenta y la media se hace sobre cinco.

En la práctica, una puntuación global de 68 puede esconder un área a 100 y otra a 32. Es exactamente lo que se ve en el ejemplo de más abajo. La puntuación global tranquiliza o preocupa; son las puntuaciones por área las que te dicen dónde mirar.

Una puntuación no es una posición en Google

Ninguna puntuación sobre 100 —ni la nuestra ni la de PageSpeed Insights— es un factor de posicionamiento. Pasar de 82 a 87 puliendo puntos por mejorar no te aporta nada; corregir un fallo crítico de indexación, sí. Trata la puntuación como un termómetro, no como un boletín de notas.

Qué ve la auditoría anónima y qué no

El motor lee tu web desde fuera, sin acceso al administrador. Es una decisión —nada que instalar, nada que conectar—, pero tiene un precio que conviene decir claramente.

Dicho de otro modo: el escáner ve todo lo que ven Googlebot y un atacante, que ya es mucho, porque es justo lo que te hace perder posiciones o te deja expuesto. Lo que no ve exige que mires tú en el administrador o un plugin de seguridad que trabaje dentro del servidor.

Una precisión importante: el escáner no mide las Core Web Vitals (LCP, INP, CLS). Mide el tiempo de respuesta del servidor y busca en el código de la página las causas habituales de una carga lenta —imágenes sin dimensiones, scripts y CSS que bloquean, CSS en línea—, pero no ejecuta la página en un navegador. Para las Core Web Vitals, usa PageSpeed Insights o el informe «Métricas web principales» de Search Console.

La 7.ª capa que casi ninguna auditoría mira: que las IA te citen (GEO)

Parte de tus visitantes ya no llega desde diez enlaces azules, sino desde una respuesta de ChatGPT, Perplexity o los resúmenes con IA de Google (AI Overviews). Aparecer citado en esas respuestas se ha convertido en un canal propio. Se llama GEO, Generative Engine Optimization, y la mayoría de las auditorías WordPress todavía no lo tratan.

Primero, la parte honesta: de estos puntos, el motor solo comprueba automáticamente el hreflang (área SEO). Los demás se revisan a mano en unos segundos cada uno. Así se hace, con el comando exacto.

Sobre WordPress en concreto: el plugin de SEO que ya usas —Yoast SEO, Rank Math, SEOPress— gestiona el autor, las fechas y el schema Article, así que buena parte del trabajo técnico ya está hecho si lo tienes bien configurado. El llms.txt se coloca en la raíz de la web: un archivo de texto, nada más. Y el acceso de los rastreadores de IA se regula en el robots.txt virtual de WordPress o en el editor de robots.txt de tu plugin de SEO.

El plan de acción para WordPress: qué tocar exactamente

Aquí es donde esta página se separa de las demás. Un escáner que te dice «mejora tu TTFB» te deja dos horas buscando. Para los problemas más frecuentes, este es el cambio preciso: el plugin, la casilla, el ajuste. Entre comillas va el nombre de la comprobación tal como aparece en tu informe, para que lo relaciones con tu análisis.

La última columna es mi parte subjetiva, y lo digo: una estimación del esfuerzo y de la mejora sacada de hacer estas correcciones en nuestras propias webs, no un número que calcule el motor. Sirve para decidir cuando todo está en rojo: primero lo que cuesta 10 minutos y mejora mucho; para un día tranquilo, lo que lleva dos horas y refuerza la web sin mover la puntuación.

El informe completo (9,90 €) recoge todos tus puntos críticos y por mejorar, con el valor medido y la corrección de cada uno, en las hasta 81 comprobaciones, y se exporta a PDF. La auditoría gratuita te da los cinco más graves: muchas veces basta para un primer fin de semana de correcciones. Un orden que funciona casi siempre: caché y WebP primero (mucha mejora, poco esfuerzo), cerrar la lista de usuarios de la API REST a continuación, y el CSS/JS que bloquea con calma, porque después hay que revisar cómo se ve la web.

Qué sale en una web real

En lugar de una captura retocada, aquí está el análisis real del 16 de julio de 2026 de mythologiste.com, una tienda WooCommerce en francés que alojamos nosotros mismos. Sus defectos son, por tanto, nuestros, y no voy a maquillarlos.

Lo que importa es el contraste: 100/100 en SEO on-page y 32/100 en rendimiento, en la misma web y en el mismo momento. El plugin de SEO hace muy bien su trabajo —title, meta descripción, canonical, sitemap, schema, todo limpio— y eso no dice nada del rendimiento ni de la seguridad, porque un plugin de SEO no mira esas cosas. Es un malentendido frecuente entre quienes tienen una web WordPress: «tengo Yoast, así que mi web está bien».

La prueba: volver a analizar después de corregir

Corregir sin comprobar es trabajar a ciegas. Un ejemplo real: en mythologiste.com, activar la caché de página para bajar el TTFB desactivó de paso la carga diferida nativa de WordPress. La puntuación de rendimiento subió por un lado y apareció un nuevo punto crítico por otro. Sin volver a analizar, no lo habríamos visto.

El método es sencillo y fiable:

1. Apunta tu puntuación de partida por área (la auditoría gratuita basta).
2. Corrige un problema cada vez, empezando por los críticos.
3. Vuelve a analizar la misma URL. ¿La puntuación mejora? Déjalo así. ¿No cambia o aparece otro problema? Sabes al momento qué ajustar.

En las páginas importantes, este nuevo análisis debería ser un hábito mensual, porque una web WordPress se estropea sola: una actualización del tema vuelve a servir las imágenes en JPEG, un plugin añade su JavaScript bloqueante, una migración vuelve a marcar la casilla «Pedir a los motores de búsqueda que no indexen este sitio». El plan Pro automatiza este seguimiento y te avisa por correo; para un puñado de páginas, el nuevo análisis manual y gratuito ya hace la mayor parte del trabajo.

Qué herramienta para qué necesidad

Este escáner no sustituye a tu plugin de SEO ni a un consultor. Ocupa un hueco concreto; este es, con lo que no sabe hacer.

Nuestros límites, sin rodeos. El motor analiza una URL cada vez, no la web entera: no verá tus páginas huérfanas, ni la profundidad de clics, ni el contenido duplicado. No sabe nada de tus enlaces entrantes ni juzga si tu texto responde a lo que busca la gente. El buen uso: primero el escáner, porque tarda menos de un minuto y encuentra los problemas mecánicos; después, una comparación con un competidor; y al final una persona, si lo que te juegas lo justifica.

Lo que se encuentra de verdad: 21 webs WordPress pasadas por el escáner

Método. El 16 de julio de 2026 pasé 21 webs WordPress en francés por este motor: blogs sobre WordPress y SEO, webs de agencias y de empresas de hosting. Todavía no hemos repetido la medición con webs en español, así que tómalo como una referencia, no como un retrato del mercado español. Además, es una muestra favorable: son profesionales de la web, no webs de pymes abandonadas. En la web de un negocio que instaló un tema en 2019 y no lo ha vuelto a tocar, es peor.

• Puntuación global mediana: 79/100 (mínimo 65, máximo 87). Nadie llega a 90, ni siquiera quienes se dedican a esto.
• 15 de las 21 webs no sirven ninguna imagen en WebP ni AVIF. Ni una. El récord: una página que carga 293 imágenes, todas en JPEG o PNG.
• 6 de las 11 webs cuya API REST responde publican la lista de sus usuarios en /wp-json/wp/v2/users: hasta 10 nombres de usuario a la vista, la mitad del trabajo de un ataque de fuerza bruta.
• 16 de 21 no tienen Content-Security-Policy y 9 de 21 no tienen HSTS.
• El TTFB mediano es de 171 ms; solo 3 de las 21 webs pasan de 600 ms.

Dos sorpresas de ese análisis. El peor TTFB de la muestra (1802 ms) es una web que gestionamos nosotros. Y una web de referencia del SEO en francés servía ese día un title de casino indonesio («ROYALTOGEL — Login Bandar Slot Gacor»): un hackeo por inyección que no se veía desde el administrador de WordPress, pero que Google leía primero. Una auditoría externa lo detecta; el administrador, no.

El contexto en España

Dos cifras públicas dan la escala. WordPress se usa en el 40,3 % de las webs que analiza W3Techs (dato consultado el 13 de septiembre de 2026), así que sus fallos de configuración se buscan de forma masiva. Y el INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26 % más que en 2024, y detectó 237.028 sistemas vulnerables relevantes. No son cifras solo de WordPress, pero explican por qué conviene revisar desde fuera lo que cualquiera puede ver de tu web. Si crees que tu web ya ha sido atacada, la Línea de Ayuda en Ciberseguridad del INCIBE, el 017, es gratuita y confidencial.

Preguntas frecuentes