Guia SEO Pas 7: Seguretat

Esteu al Pas 7 de la Guia SEO de 13 Passos. La seguretat no és només protegir els usuaris: afecta directament les vostres posicions en les cerques. Google utilitza HTTPS com a senyal de classificació des del 2014, i les expectatives només han anat augmentant.

La majoria dels propietaris de llocs web pensen en la seguretat com un binomi: "Tenim SSL, així que estem segurs." En realitat, Google avalua desenes de senyals de seguretat. Els llocs amb capçaleres de seguretat adequades, certificats vàlids i sense contingut mixt superen els llocs amb un simple certificat SSL — sempre que tot el demés sigui igual.

La bona notícia és que la majoria de les correccions de seguretat són configuracions puntuals. Configura-les una vegada, i protegiran les teves classificacions de manera permanent.

Configuració SSL

SSL (tècnicament TLS) xifra la connexió entre el teu servidor i els visitants. Des del 2014, Google ha confirmat explícitament HTTPS com a senyal de classificació. El 2026, no tenir HTTPS no és només un problema de classificació: Chrome marca els llocs HTTP com "No Segurs" a la barra d'adreces, destruint la confiança dels usuaris.

Requisits per a un SSL adequat:

Requisit	Per què	Com comprovar
Certificat vàlid	Caducat = avís del navegador = usuaris abandonen	Comprovar data de caducitat
Cadena completa	Cadena incompleta falla en alguns dispositius	Prova SSL Labs
TLS 1.2+	Versions més antigues tenen vulnerabilitats conegudes	Prova SSL Labs
Sense SHA-1	Deixat de ser utilitzat, els navegadors el rebutgen	Detalls del certificat
Cobertura SAN	www i no-www han de ser coberts	Detalls del certificat
Auto-renovació	Prevén desastres per caducitat	Configuració de Let's Encrypt / proveïdor

Puntuació SSL:

100% = Certificat vàlid + Cadena completa + TLS 1.3 + Cifra forta + Auto-renovació
  0% = Certificat caducat o inexistent

Errors comuns de SSL:

El certificat caduca sense avís — Configureu la monitorització (Pas 6) mínim 30 dies abans de la caducitat
Cadena de certificat incompleta — El servidor ha d'enviar certificats intermedis, no només la fulla
Contingut mixt — La pàgina HTTPS carrega recursos HTTP (imatges, scripts, fulls d’estil)
Cicles de redirecció — Rediccions HTTP → HTTPS → HTTP causades per CDN/proxy mal configurats
Desajust entre non-www i www — El certificat cobreix un però no l'altre

Guany ràpid: Corre la teva domini a través de SSL Labs (ssllabs.com/ssltest). Qualsevol cosa per sota d'una qualificació "A" té problemes d'acció. La majoria de proveïdors d'allotjament ho solucionen amb un clic.

Capçaleres de Seguretat

Les capçaleres de seguretat són capçaleres de resposta HTTP que indiquen als navegadors com comportar-se en carregar el teu lloc. Prevenen categories completes d'atacs — i els rastrejadors de Google les comproven.

Les capçaleres de seguretat essencials:

Content-Security-Policy (CSP)

CSP és la capçalera de seguretat més potent. Indica als navegadors exactament quins recursos (scripts, estils, imatges, fonts) es poden carregar a les teves pàgines.

Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' https://fonts.gstatic.com; connect-src 'self' https://api.example.com; frame-ancestors 'none';

Què impedeix el CSP:

Atacs de scripting entre llocs (XSS)
Atacs d'injecció de dades
Clickjacking (mitjançant frame-ancestors)
Execució no autoritzada d'scripts (cryptominers, injectors d'anuncis)

Estratègia de desplegament de CSP:

Comença amb Content-Security-Policy-Report-Only (registra violacions sense bloquejar)
Monitoritza informes durant 1-2 setmanes
Autoritza fonts legítimes
Canvia a mode d'aplicació
Afegeix report-uri o report-to per a registre continu de violacions

X-Frame-Options

Impedix que el teu lloc sigui incrustat en iframes d'altres dominis (protecció contra clickjacking).

X-Frame-Options: DENY

O si necessites permetre la incrustació de mateix origen:

X-Frame-Options: SAMEORIGIN

X-Content-Type-Options

Impedix que els navegadors facin "MIME-type sniffing" (interpretarFitxers com si fossin de diferents tipus dels declarats).

X-Content-Type-Options: nosniff

Aquesta línia impedeix atacs on un fitxer .jpg conté JavaScript amagat que el navegador podria executar.

Referrer-Policy

Controlem quina quantitat d'informació de referència s'envia quan els usuaris fan clic en enllaços del teu lloc.

Referrer-Policy: strict-origin-when-cross-origin

Això envia la URL completa per a sol·licits d'origen-igual, però només l'origen (domini) per a sol·licits de creu-origen. Equilibra les necessitats d'analítica amb la privadesa.

Permissions-Policy

Controlem quines característiques del navegador (càmera, micròfon, geolocalització, etc.) poden ser utilitzades al teu lloc.

Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=()

Desactivar característiques que no utilitzes impedeix que scripts de tercers les abusin.

Exemple d'implementació de capçaleres (Next.js):

// next.config.js
module.exports = {
  async headers() {
    return [{
      source: '/(.*)',
      headers: [
        { key: 'X-Content-Type-Options', value: 'nosniff' },
        { key: 'X-Frame-Options', value: 'SAMEORIGIN' },
        { key: 'Referrer-Policy', value: 'strict-origin-when-cross-origin' },
        { key: 'Permissions-Policy', value: 'camera=(), microphone=(), geolocation=()' },
        { key: 'Strict-Transport-Security', value: 'max-age=31536000; includeSubDomains; preload' },
      ]
    }]
  }
}

Implementació de capçaleres (Apache .htaccess):

Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Implementació de capçaleres (Nginx):

add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Guany ràpid: Afegeix totes les 5 capçaleres esmentades anteriorment a la teva configuració del servidor. Això triga 5 minuts i millora immediatament la teva postura de seguretat en qualsevol eina de comprovació.

HSTS Preload

HTTP Strict Transport Security (HSTS) indica als navegadors que sempre utilitzin HTTPS per al teu domini — fins i tot abans de la primera sol·licitud. Sense HSTS, la primera visita al teu lloc pot seguir utilitzant HTTP (vulnerable a la interceptació) abans que es produeixi la redirecció a HTTPS.

Capçalera HSTS:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Les tres directrius:

Directriu	Significat
`max-age=31536000`	Recorda això durant 1 any (en segons)
`includeSubDomains`	S'aplica a tots els subdominis també
`preload`	Sol·licita la inclusió a les llistes de preload dels navegadors

Llista de preload HSTS:

La protecció HSTS definitiva. Els navegadors venen amb una llista integrada de dominis que han d'utilitzar sempre HTTPS. Enviar el teu domini a hstspreload.org significa:

Els visitants per primera vegada obtenen HTTPS immediatament (sense redirecció HTTP → HTTPS)
Impossible per als atacants rebaixar connexions
Permanent (difícil d'eliminar un cop enviat)

Requisits per al preload HSTS:

Certificat HTTPS vàlid
Redirigir tot HTTP a HTTPS (incloent subdominis)
Capçalera HSTS amb max-age >= 31536000
Capçalera HSTS inclou includeSubDomains
Capçalera HSTS inclou preload
Tots els subdominis han de suportar HTTPS

Advertència: Només envia a preload si TOTS els teus subdominis suporten HTTPS. La directriu includeSubDomains significa que qualsevol subdomini només HTTP es tornarà inaccessible.

Guany ràpid: Si ja tens HTTPS en tots els subdominis, afegeix la capçalera HSTS completa i envia a hstspreload.org. El processament triga unes setmanes, però la protecció és permanent.

Exploració de Vulnerabilitats

L'exploració automatitzada de vulnerabilitats identifica problemes de seguretat coneguts en la teva pila abans que els atacants els explotin.

El que comprova l'exploració de vulnerabilitats:

Programari desactualitzat: WordPress, plugins, biblioteques de JavaScript amb CVEs conegudes
Fitxers exposats: .env, .git, wp-config.php, bolques de bases de dades
Fugida d'informació: Capçaleres de versió del servidor, mode de depuració, traçades de pila
Credencials per defecte: Pàgines d'administració sense autenticació, contrasenyes per defecte
Ports/serveis oberts: Serveis innecessaris exposats a Internet
Punts d'injecció: Formularis sense protecció CSRF, entrades no validades

Vulnerabilitats comunes per plataforma:

Plataforma	Vulnerabilitat principal	Solució
WordPress	Plugins desactualitzats	Autoactualització + WAF
Shopify	Permisos d'aplicacions de tercers	Auditoria de la llista d'aplicacions trimestral
Next.js	Rutes d'API exposades	Middleware d'autenticació + limitació de taxa
Llocs estàtics	Configuració incorrecta del CDN	Revisar regles de memòria cau
Personalitzat	Injecció SQL	Consultes parametritzades

Freqüència d'exploració:

Diari: Exploració de superfície automatitzada (SSL, capçaleres, fitxers exposats)
Setmanal: Comprovació de vulnerabilitats de dependències (npm audit, escàner de plugins de WordPress)
Mensual: Exploració profunda amb proves autenticades
Després de cada desplegament: Comprovació de regressió

Guany ràpid: Executa npm audit (Node.js) o comprova la teva llista de plugins de CMS per components desactualitzats. Soluciona immediatament les qüestions de severitat crítica/alta.

Contingut Mixt

El contingut mixt es produeix quan una pàgina HTTPS carrega recursos (imatges, scripts, fulls d’estil, iframes) a través de HTTP. Això trenca parcialment la xifra i provoca advertències al navegador.

Tipus de contingut mixt:

Tipus	Severitat	Exemple	Comportament del Navegador
Actiu	Alt	Script HTTP, iframe, CSS	Blocat per defecte
Passiu	Mitjà	Imatge HTTP, vídeo, àudio	Carregat amb advertència

El contingut mixt actiu és bloquejat per navegadors moderns — cosa que significa que els teus scripts i estils simplement no es carregaran. El contingut mixt passiu es carrega però mostra advertències de seguretat.

Trobar contingut mixt:

Obre les DevTools de Chrome → Consola
Cerca advertències de "Contingut Mixt"
Alternativament, escaneja amb un rastrejador (Screaming Frog, LANGR)

Fonts comunes de contingut mixt:

URLs http:// codificades en contingut (entrades de blog, descripcions de productes)
Widgets de tercers carregant recursos HTTP
Contingut incrustat (incrustacions antigues de YouTube, widgets de xarxes socials)
CSS background-image amb URLs HTTP
Fonts carregades a través de HTTP

Solucionar contingut mixt:

<!-- Dolent -->
<img src="http://example.com/image.jpg" />

<!-- Bo -->
<img src="https://example.com/image.jpg" />

<!-- Millor (relatiu al protocol, s'adapta al protocol de la pàgina) -->
<img src="//example.com/image.jpg" />

Solució de base de dades (WordPress):

UPDATE wp_posts SET post_content = REPLACE(post_content, 'http://yourdomain.com', 'https://yourdomain.com');
UPDATE wp_postmeta SET meta_value = REPLACE(meta_value, 'http://yourdomain.com', 'https://yourdomain.com');

Guany ràpid: Obre la teva pàgina d'inici a Chrome, prem F12, comprova la pestanya de Consola per advertències de contingut mixt. Soluciona qualsevol que aparegui — això és directament visible per Google.

Riscos dels Scripts de Tercers

Cada script extern que carregues és un potencial passiu de seguretat (i rendiment). Els scripts de tercers poden:

Ser compromesos (atacs de cadena de subministrament)
Fer un seguiment dels teus usuaris sense consentiment (violació del GDPR)
Fer que la teva pàgina sigui més lenta (bloqueig de renderització, latència de xarxa)
Trencar la funcionalitat (actualitzacions de versions, caigudes)
Injectar contingut no desitjat (scripts publicitaris que fallen)

Audita els teus scripts de tercers:

Script	Necessari?	Nivell de Risc	Alternativa
Google Analytics	Sovint sí	Baix	Seguiment al costat del servidor
Widgets de xat	Potser	Mitjà	Solucions auto-hosted
Botons de compartir socials	Rarament	Mitjà	Enllaços de compartir estàtics
Proves A/B	De vegades	Alt	Proves al costat del servidor
Pixels de retargeting	Decisió empresarial	Alt	Dades de primera part
CDNs de fonts	Cómode	Baix	Fonts auto-allotjades

Mitigació de riscos per scripts de tercers essencials:

Integritat de Subrecursos (SRI): La verificació de hash impedeix que scripts manipilats es carreguin

<script src="https://cdn.example.com/lib.js"
        integrity="sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K/uxAE+sO0..."
        crossorigin="anonymous"></script>

Restriccions de CSP: Permet només scripts de dominis coneguts
Iframes aïllats: Aïlla widgets de tercers
Auditories regulars: Revisió trimestral de tots els recursos externs
Monitorització: Avís de nous dominis externs que apareixen a les teves pàgines

Guany ràpid: Fes una llista de cada etiqueta