Puede encontrar páginas sin HTTPS indexadas en Google utilizando el operador site: combinado con el comando -inurl:https. Al ingresar ‘site:yourdomain.com -inurl:https’ en la barra de búsqueda, instruye al motor para mostrar solo aquellas páginas en su dominio que carecen del protocolo seguro en su cadena de URL indexada. Este método directo le ayuda a auditar la configuración de seguridad de su sitio sin necesidad de software de rastreo de terceros.
Identificar estas páginas es el primer paso para proteger a sus visitantes de advertencias de contenido mixto. Cuando un navegador carga una página HTTPS pero extrae recursos como imágenes o scripts de una fuente HTTP, activa una alerta de seguridad. Usar comandos de búsqueda de Google le permite ver exactamente lo que ve el motor de búsqueda, proporcionando una lista clara de URLs que requieren atención inmediata.
¿Por qué Google indexa páginas sin HTTPS?
Google indexa páginas sin HTTPS cuando la configuración de su servidor no redirige las solicitudes inseguras a sus contrapartes seguras. Incluso si tiene un certificado SSL instalado, las reglas incorrectas del lado del servidor o los enlaces internos inconsistentes pueden llevar a que ambas versiones de una página existan en el índice. Los motores de búsqueda tratan estas como entidades distintas a menos que defina explícitamente la fuente canónica.
En una configuración de servidor típica, los errores de configuración a menudo provienen de archivos heredados. Si su sitio ha evolucionado durante varios años, es posible que tenga carpetas o subdirectorios antiguos que nunca se configuraron para forzar SSL. Estas páginas permanecen disponibles a través del puerto 80, y debido a que son accesibles, el rastreador de Google continúa verificándolas como contenido válido, manteniéndolas en el índice junto con sus alternativas seguras.
Otra razón para este comportamiento es la presencia de enlaces codificados. Si su estructura de enlaces internos apunta a ‘http://example.com’ en lugar de la ruta relativa o la versión ‘https’, los rastreadores seguirán esas rutas y las indexarán en consecuencia. Incluso con una redirección 301 en su lugar, la versión HTTP inicial podría persistir en los resultados de búsqueda hasta que el rastreador vuelva a procesar toda la estructura del sitio.
Cómo realizar una auditoría usando operadores de búsqueda
Para identificar estas páginas, debe adoptar un enfoque sistemático para consultar su propio sitio. Comience aislando posibles URLs inseguras y luego verifique sus códigos de estado manualmente. El objetivo es limpiar su índice de estas entradas para asegurar que los usuarios siempre reciban contenido cifrado y para mantener la integridad del perfil de seguridad de su sitio.
- Use ‘site:yourdomain.com -inurl:https’ en la barra de búsqueda de Google para listar todas las páginas actualmente indexadas sin el protocolo seguro.
- Use ‘site:yourdomain.com inurl:http’ para encontrar ocurrencias específicas de HTTP que podrían estar causando problemas de contenido mixto.
- Verifique su archivo robots.txt para asegurarse de que no esté bloqueando accidentalmente las versiones HTTPS para que no sean rastreadas.
- Verifique que su configuración de .htaccess o Nginx contenga una redirección 301 permanente para todo el tráfico HTTP entrante.
Al realizar esta auditoría, prepárese para investigar también sus subdominios. A menudo, el sitio principal es seguro, pero un entorno de prueba olvidado o un subdominio de blog heredado en un servidor diferente podría seguir sirviendo contenido a través de HTTP. Use el comando ‘site:subdomain.yourdomain.com -inurl:https’ para verificar estas áreas específicamente.
Cómo aplica este proceso Alien Road
En Alien Road, tratamos las auditorías de seguridad como la base de cada compromiso técnico. Cuando incorporamos a un cliente, realizamos una verificación manual del índice de búsqueda antes de iniciar auditorías técnicas más grandes. Buscamos discrepancias entre la estructura del sitio prevista y lo que Google muestra realmente en las páginas de resultados, asegurando que ninguna página insegura heredada esté diluyendo la autoridad del sitio.
Al introducir restricciones de proximidad, los profesionales de búsqueda obtienen la capacidad de inspeccionar qué tan cerca se encuentran conceptos relacionados dentro del cuerpo de un artículo o estructura de encabezados.
Google Search Central
Por ejemplo, durante una auditoría reciente para un cliente minorista, descubrimos que su CDN de imágenes todavía usaba puntos finales HTTP para galerías de productos antiguas. Al usar operadores de búsqueda, identificamos que docenas de estas páginas de galería estaban indexadas como inseguras. Proporcionamos al cliente una lista directa de estas URLs, permitiendo a sus desarrolladores actualizar las referencias de enlaces y aplicar una regla de redirección global, lo que eliminó los errores de contenido mixto dentro de las dos semanas posteriores al siguiente ciclo de rastreo.
¿Cuáles son los riesgos de ignorar el contenido mixto?
Ignorar el contenido mixto conduce a advertencias del navegador que desalientan a los visitantes de interactuar con su sitio. Navegadores como Chrome marcan las páginas HTTP como ‘No seguras’, lo que puede llevar a tasas de rebote más altas. Además, los motores de búsqueda prefieren HTTPS como señal de clasificación, por lo que mantener un índice seguro es un requisito para el rendimiento moderno.
- Disminución de la confianza del usuario debido a advertencias de seguridad persistentes del navegador.
- Pérdida de datos de referencia cuando los usuarios pasan de sitios HTTPS a sus páginas HTTP.
- Rendimiento inconsistente en las métricas de clasificación de búsqueda causado por señales de contenido duplicado.
- Mayor vulnerabilidad a secuencias de comandos entre sitios o interceptación de datos en páginas no cifradas.
Estos problemas no son solo teóricos. Si un usuario llega a una página HTTP que debería ser segura, puede ver una advertencia de ‘La conexión no es privada’. Este es un elemento disuasorio inmediato que hace que la mayoría de los usuarios abandonen el sitio al instante. Al buscar regularmente estas páginas, evita que estas experiencias de usuario negativas afecten la reputación de su marca.
Por dónde empezar esta semana
Comience su auditoría esta semana ejecutando el comando de búsqueda ‘site:’ para su dominio. Cree una lista de cada URL HTTP que aparezca en los resultados. Una vez que tenga esta lista, actualice la configuración de su servidor para redirigir estas rutas específicas a HTTPS. Si tiene un sitio grande, concéntrese primero en sus páginas de mejor rendimiento para asegurar que su contenido más importante sea seguro de inmediato.
Después de implementar las redirecciones, verifique los cambios haciendo clic en los enlaces HTTP antiguos. Si su servidor está configurado correctamente, debería ser redirigido automáticamente a la versión HTTPS. Mantenga un registro de sus hallazgos y vuelva a ejecutar el operador de búsqueda en siete días para confirmar que Google ha comenzado a eliminar las versiones inseguras de su índice.