Metodología: cómo calcula WebMeter la puntuación web y la nota A–F

Qué medimos y de dónde salen los datos

WebMeter evalúa un sitio web en 15 áreas. Todas menos dos tienen su propia puntuación de 0 a 100: Higiene cibernética (NIS2) y Terceros son resúmenes sin puntuación. La pregunta a la que responde cada área está en la página Qué comprobamos. Los tres pasos de una comprobación se describen en la página Cómo funciona.

La medición utiliza solo información de acceso público:

• El propio sitio web. El archivo robots.txt, la página de inicio y sus cabeceras HTTP, como máximo 30 páginas públicas más del menú y del sitemap, como máximo 8 archivos JavaScript que carga la página de inicio, y archivos como sitemap.xml o security.txt. Además, una conexión TLS para leer el certificado y las versiones de TLS admitidas.
• Un navegador. Chromium renderiza la página de inicio una vez, en un servidor de la UE con configuración checa (idioma cs-CZ, zona horaria Europe/Prague). Nunca hace clic en el banner de cookies. En la página renderizada se ejecuta la prueba de accesibilidad axe-core según WCAG 2.2, niveles A y AA.
• DNS. Los registros públicos del dominio: SPF, DMARC, selectores DKIM habituales, MX, MTA-STS, DANE, BIMI, CAA, DNSSEC, servidores de nombres e IPv6. Las consultas pasan por el DNS over HTTPS de Google y un segundo resolver de Cloudflare confirma un DNSSEC roto. Con consultas DNS también se comprueban dominios de nombre parecido.
• Google PageSpeed Insights. La velocidad en móvil a partir de tres ejecuciones de laboratorio de Lighthouse. Es Google quien carga el sitio desde su propia infraestructura.
• Registros y servicios públicos. El RDAP del registro del dominio (fin del registro), los registros públicos de certificados crt.sh y, como respaldo, Cert Spotter (subdominios), RIPEstat (RPKI), ARES, el registro mercantil checo (para verificar el número de empresa checo IČO que muestra el sitio), la lista de precarga HSTS y el estado de revocación del certificado ante su emisor.
• Tablas guardadas en la aplicación. Fechas de fin de soporte del software, el estado de las versiones de WordPress y el catálogo CISA KEV de vulnerabilidades explotadas. Son instantáneas y no se descargan durante la medición.

WebMeter no inicia sesión, no prueba contraseñas ni vulnerabilidades y no rellena formularios. Cómo se comporta en su sitio se explica en la página El rastreador WebMeterBot.

El informe también indica notas orientativas según las metodologías públicas de SSL Labs y Mozilla HTTP Observatory. No son resultados oficiales de esos servicios y no cuentan para la puntuación.

Cómo se calcula la puntuación de un área

Cada área parte de 100 puntos. Por cada hallazgo se restan puntos según su gravedad:

A partir del cuarto hallazgo de la misma gravedad en un área, solo se resta la mitad. Así, una serie de detalles menores no hunde un área hasta cero. La puntuación de un área nunca baja de 0. El modelo se basa en la metodología de Mozilla HTTP Observatory.

Ejemplo: dos hallazgos de gravedad media y uno de gravedad baja dan 100 − 8 − 8 − 3 = 81 puntos. Cinco hallazgos de gravedad media dan 100 − 3 × 8 − 2 × 4 = 68 puntos.

SEO: la suma de seis pilares

El área SEO se calcula de otra forma. Su puntuación es la suma de seis pilares: indexación 25 puntos, títulos y descripciones 25, contenido y estructura 15, datos estructurados 15, compartir 10 y aspectos técnicos 10. Los puntos se asignan según la proporción de páginas de contenido evaluadas. Los hallazgos de SEO explican qué falta, pero no restan puntos. Encontrará los detalles en la guía Comprobador SEO.

Velocidad: solo datos de laboratorio

La puntuación de velocidad se basa en la mediana de tres ejecuciones de laboratorio de Lighthouse en móvil. Se evalúan, entre otros, LCP, TBT (el sustituto de laboratorio de INP), CLS y la respuesta del servidor. Los datos de visitantes reales (CrUX) aparecen por separado en el informe y no entran en la puntuación. Así se miden igual también los sitios de los que Google no tiene esos datos.

Puntuación total y nota A–F

La puntuación total es la media ponderada de las puntuaciones de las áreas. Los pesos suman 100:

El informe evalúa las áreas informativas y muestra su puntuación. No entran en la puntuación total.

Ejemplo de cálculo (simplificado, web ficticia)

La aportación de un área es puntuación × peso / 100. Si caducara el certificado de la web (hallazgo crítico, −40 puntos en HTTPS y certificado), la media ponderada bajaría a 75,74. El tope por hallazgo crítico la reduce entonces a 74, es decir, nota C.

La puntuación determina la nota y el color:

La nota E no se utiliza. La puntuación se muestra como número entero redondeado hacia abajo, para que siempre coincida con la nota: 89,6 puntos se muestran como 89 con nota B.

El informe de ejemplo muestra cómo se ven la puntuación, la nota y los topes en un informe terminado.

Topes: cuándo una puntuación no puede ser alta

Algunos hallazgos son tan graves que una media los ocultaría. Por eso se aplican topes. Un tope solo baja la puntuación, nunca la sube. Si se aplican varios topes a la vez, cuenta el más bajo. El informe indica el motivo junto al área limitada.

• Un hallazgo crítico en cualquier área: la puntuación total es como máximo 74, es decir, como mucho nota C y amarillo. Son críticos, por ejemplo, un sitio fuera del índice de los buscadores, un certificado caducado, no fiable o revocado, un servidor que solo ofrece el obsoleto TLS 1.0 o 1.1, un dominio con el registro vencido, un dominio sin SPF ni DMARC o una clave secreta activa de un servicio de pago o de nube en el código del sitio.
• CMS y tecnología: un software que probablemente ya no recibe actualizaciones de seguridad limita el área a 59 puntos con gravedad alta o crítica y a 74 puntos con gravedad media.
• SPF, DKIM, DMARC: si DMARC falta, está publicado dos veces o no se aplica, el área tiene como máximo 74 puntos.
• Cabeceras de seguridad: si faltan a la vez HSTS, una CSP eficaz y la protección contra la inserción de la página en un marco, el área tiene como máximo 39 puntos.
• SEO: una página de inicio fuera del índice (noindex, bloqueo para Googlebot o SeznamBot en robots.txt, canonical hacia otro dominio) supone como máximo 20 puntos. Si en la mitad o más de las páginas de contenido faltan o se repiten títulos y descripciones, el tope es de 59 puntos; si solo los títulos o solo las descripciones, de 74 puntos. Estos dos topes se aplican a partir de tres páginas de contenido evaluadas.
• Buscadores de IA y Buscadores además de Google: un hallazgo de gravedad alta o crítica limita el área a 74 puntos. No afecta a la puntuación total, porque son áreas informativas.

Cuando algo no se puede medir

A veces un área no se ejecuta, por ejemplo cuando PageSpeed Insights no responde. El área que falta no se elimina de la media, porque eso podría subir la puntuación de forma artificial. Cuenta como 50 puntos, o como la media de las áreas medidas si esta es más baja.

Un área medida solo en parte, por ejemplo la velocidad con una sola ejecución, pesa la mitad. El resto de su peso cuenta como no medido. La excepción es la caída de un servicio externo opcional, como los registros de certificados. En ese caso no faltan datos del sitio, así que la caída no mueve la puntuación y el informe solo la menciona.

Si no se ha medido todo, la nota es provisional. El informe indica entonces el intervalo de notas en el que podría caer la puntuación si la parte no medida diera 0 o 100 puntos. También muestra la cobertura, es decir, la proporción del peso medido. Desde el 90 % la confianza en el resultado es plena, desde el 70 % reducida y por debajo, baja.

Qué significa la gravedad de un hallazgo

La gravedad la fijan reglas fijas para cada tipo de hallazgo. El mismo estado de un sitio da siempre la misma gravedad. El informe ordena los hallazgos del más grave al menos grave.

• Crítica: un defecto grave que afecta a todo el sitio, al dominio o al correo. Por ejemplo, un sitio que los buscadores no pueden mostrar o un certificado en el que los navegadores no confían. Resta 40 puntos y además se aplica el tope de 74 a la puntuación total.
• Alta: una carencia que puede permitir el abuso del sitio o del correo, o que perjudica claramente a los visitantes o a la visibilidad en los buscadores. Resta 20 puntos.
• Media: una carencia que conviene resolver en un plazo razonable. Resta 8 puntos.
• Baja: un detalle menor o una desviación de las buenas prácticas. Resta 3 puntos.
• Info: información sin efecto en la puntuación. Contexto, un estado que no se puede verificar desde fuera o un estándar opcional.

Cuando un hallazgo se basa solo en un indicio indirecto, como una versión de software estimada, su gravedad es deliberadamente menor. Los riesgos del informe son posibles consecuencias del estado observado, no un incidente confirmado.

Lo que la medición no puede hacer

• No es una prueba de penetración. Una comprobación desde fuera no revela fallos dentro de la aplicación, contraseñas débiles ni el estado del servidor. Por eso una buena puntuación no demuestra la seguridad del sitio ni el cumplimiento normativo.
• No mide posiciones en los buscadores ni el PageRank. Tampoco ve los enlaces entrantes ni el tráfico. Sus posiciones reales las muestran Google Search Console o Seznam Webmaster.
• No ve contenido tras un inicio de sesión. Tampoco la administración, el área de clientes ni las rutas que prohíbe robots.txt.
• No ve lo que el sitio carga tras el consentimiento de cookies. El navegador nunca hace clic en el banner. Evalúa lo que ve un visitante antes de elegir nada.
• La velocidad es de laboratorio. Lighthouse simula un móvil con una conexión ralentizada. Los visitantes reales pueden tener una experiencia mejor o peor. Google solo tiene datos CrUX de sitios con tráfico suficiente.
• No recorre todo el sitio. Mide la página de inicio y una muestra de otras páginas públicas.
• Algunos datos son estimaciones. La versión del software se estima a partir de huellas públicas. WebMeter puede no encontrar DKIM con un selector poco habitual, por lo que lo marca como no verificado, no como ausente.
• Una prueba de accesibilidad automática solo cubre una parte de WCAG. No demuestra que un sitio sea accesible.
• No es un dictamen jurídico. En cookies y datos de la empresa muestra lo que se ve desde fuera. No evalúa el cumplimiento de la ley.
• Es una instantánea. El resultado vale para el momento de la medición.

Independencia y versión de la metodología

• WebMeter es gratuito, sin registro y sin publicidad.
• La puntuación la calcula un programa según las reglas de esta página, igual para todos los sitios. Los mismos datos dan la misma puntuación. Ninguna valoración manual entra en el cálculo.
• El informe no contiene publicidad ni ofertas de servicios. Según el resultado, debajo del resultado en la web puede aparecer un enlace a los servicios del operador. No influye en la puntuación.
• El informe evalúa. Para cada hallazgo indica brevemente de qué trata y quién suele ocuparse de él. No contiene código listo, configuraciones ni instrucciones paso a paso.
• En la comparación con la competencia, todos los sitios se miden con la misma metodología y solo se comparan puntuaciones de la misma versión principal.

Versión de la metodología

La versión actual es la 3.0.0 (Medición 3.0, octubre de 2026). Cada informe indica la versión con la que se creó. Un cambio en el cálculo recibe un nuevo número de versión y lo describimos en esta página. No comparamos directamente puntuaciones de las versiones 2.x y 3.x.

• 3.0.0 (octubre de 2026): el SEO se calcula a partir de seis pilares, se añadieron topes por área y se precisó la gravedad de varios hallazgos. Los pesos de las áreas, los puntos por gravedad y los límites de las notas no cambiaron.

Preguntas frecuentes sobre el cálculo de la puntuación

Quién está detrás de WebMeter

WebMeter es un servicio de ON Consulting & Advisory. El operador diseña y mantiene la metodología. Se apoya en estándares y documentación públicos, por ejemplo RFC 9309 para robots.txt, RFC 7208 para SPF, WCAG 2.2, los umbrales de Core Web Vitals de Google y la documentación de los buscadores. El modelo de restas sigue la puntuación de Mozilla HTTP Observatory, la nota orientativa según SSL Labs su SSL Server Rating Guide y la tabla de vulnerabilidades explotadas procede del catálogo CISA KEV.

Los datos del operador están en la política de privacidad. Envíe sus preguntas sobre la metodología o avisos de un error de medición a kontakt@webmeter.eu.