Además de leer los datos de Google, SaaSMaestro puede visitar tus sitios web por sí mismo para detectar problemas que Google no te comunica. Las comprobaciones están en Salud de los sitios, en Configuración → tu espacio de trabajo → Conexiones de datos. Cada una es un servicio independiente, desactivado hasta que un propietario o administrador lo activa en su cuadro de diálogo, donde también elige qué sitios web cubre. No hay que instalar nada.
Las comprobaciones proceden de nuestros servidores en 35.214.110.192. Si tu sitio está detrás de un firewall, Cloudflare o un plugin de seguridad, añade primero esa dirección a la lista blanca. Consulta Añadir nuestra dirección IP a la lista blanca.
Los servicios
| Servicio | Frecuencia | Qué se analiza |
|---|---|---|
| Supervisión de disponibilidad | Cada 15 minutos | Si la página de inicio responde, confirmado desde otras regiones antes de declarar una caída, además de comprobaciones diarias de la etiqueta de Google, robots.txt, el sitemap y las páginas, y un informe mensual. |
| Supervisión de certificados SSL | Semanal | Cuándo caduca el certificado, quién lo emitió y si los visitantes obtienen realmente HTTPS. |
| Supervisión de dominios | Semanal | Cuándo caduca el registro del dominio, el registrador y los bloqueos del registro. |
| DNS y seguridad del correo | Diario | Cambios en los servidores de nombres y de correo, y en los registros SPF, DMARC y DKIM. |
| Lista negra y malware | Diario | La lista Web Risk de Google de sitios peligrosos y abusos, y la lista de malware URLhaus de abuse.ch. |
| Cabeceras de seguridad | Semanal | Seis cabeceras de seguridad habituales, puntuadas de la A a la F, y archivos cargados por HTTP sin cifrar. |
| Rendimiento en laboratorio | Semanal | Una prueba de PageSpeed Insights de la página de inicio móvil, con su puntuación a lo largo del tiempo. |
| Core Web Vitals | Diario | Velocidad de visitantes reales del Informe de experiencia del usuario de Chrome (CrUX), leída durante las comprobaciones diarias de la Supervisión de disponibilidad una vez establecida su clave de API. |
| Comprobaciones de páginas clave | Cada 5, 15 o 60 minutos | Las páginas que elijas, como precios o registro, deben cargar y contener el texto que indiques. |
| Supervisión de heartbeats | Con la frecuencia que establezcas | Tus propios trabajos de cron, copias de seguridad y workers solicitan una dirección privada; se te avisa cuando uno deja de dar señales. |
Al añadir un sitio web nuevo, se te ofrecen los servicios que ya están activados para el espacio de trabajo. Los avisos de las comprobaciones de SSL, dominio, DNS, listas negras, cabeceras de seguridad y rendimiento se envían por correo a los propietarios y administradores como «Alertas de problemas críticos» en cuanto una comprobación los detecta, cada uno solo una vez, y a cualquier canal de chat que los reciba.
Disponibilidad
La página de inicio de cada sitio web se comprueba cada 15 minutos. Un sitio web solo se considera caído tras dos comprobaciones fallidas seguidas, lo que evita falsas alarmas por una sola respuesta lenta. Respuestas como «no autorizado» o «demasiadas solicitudes» cuentan como activo, porque el servidor está respondiendo.
Antes de declarar caída un segundo fallo, servidores de otras regiones también cargan el sitio web. Si la mayoría puede, el problema está entre nuestro servidor principal y el sitio web, como un fallo de red o una regla de firewall, así que no se declara ninguna caída. El cuadro de diálogo Supervisión de disponibilidad enumera las regiones utilizadas.
Cuando un sitio web se cae, los propietarios y administradores reciben de inmediato un correo de caída (como máximo una vez por caída y semana), y se crea un problema crítico hasta que vuelve a funcionar. El día 1 de cada mes también reciben un informe mensual de disponibilidad con la disponibilidad y las caídas de cada sitio web del mes anterior; cualquiera puede desactivarlo para sí mismo en Notificaciones.
Comprobaciones diarias
Estos se ejecutan junto con la Supervisión de disponibilidad, una vez al día para cada sitio web que cubre.
| Comprobación | Qué se analiza |
|---|---|
| Etiqueta de Google | Si la página de inicio contiene la etiqueta de GA4 de este sitio web, otro ID de GA4, Google Tag Manager o nada. |
| robots.txt | Si existe, si ha cambiado y si bloquea a todos los buscadores. |
| Sitemap | Cuántas URL contiene, leyendo hasta 10 sitemaps secundarios. |
| Core Web Vitals | Velocidad real de los visitantes según el Chrome UX Report: Largest Contentful Paint, Interaction to Next Paint y Cumulative Layout Shift. Requiere una clave de la Chrome UX Report API, que se configura en el recuadro Core Web Vitals de la pestaña Conexiones de datos del espacio de trabajo. |
| Estado en el índice de Google | Para los sitios web vinculados a Search Console, si cada página vigilada está en el índice de Google, según la URL Inspection API. |
| Enlaces internos (semanal) | Se siguen hasta 40 enlaces a tu propio sitio web desde las páginas vigiladas, y se listan los que responden 404, 410 o un error del servidor. |
Un sitio web que carga su etiqueta de Google mediante una herramienta de consentimiento o Tag Manager puede mostrar «Se encontró Google Tag Manager» o «No encontrado» aunque el seguimiento funcione. Consulta el informe En tiempo real de GA4 para asegurarte.
Certificados SSL
Una vez por semana nuestros servidores leen el certificado que sirve cada sitio web: cuándo caduca y quién lo emitió. A menos de ocho días de la caducidad, o mientras falta HTTPS, lo consultan a diario, de modo que se detecta una renovación antes de avisar a nadie. Se te avisa una semana antes de que caduque el certificado, de nuevo el día anterior y cuando ya ha caducado. Aparece como un problema en la página del sitio web desde 14 días antes.
También comprueban que los visitantes obtienen HTTPS: se te avisa cuando el sitio web solo responde por HTTP sin cifrar, o cuando HTTP sin cifrar sirve el sitio web sin redirigir a HTTPS. Estos avisos se repiten cada semana hasta que se corrijan.
Registro del dominio
Una vez por semana se consulta el dominio registrado (example.com para shop.example.com) en su registro mediante RDAP, o WHOIS cuando el registro no tiene RDAP. A menos de un mes de la caducidad se consulta a diario. Se te avisa un mes, una semana y un día antes de que caduque el registro, y cuando ya ha caducado. También se te avisa de inmediato si el registro bloquea el dominio, lo que detiene el sitio web y el correo, o si ha caducado y está a punto de eliminarse.
DNS y seguridad del correo
Una vez al día se consultan los registros DNS del dominio mediante DNS-over-HTTPS, para que los resultados coincidan con lo que ve el resto de internet. Un cambio de servidores de nombres o de correo genera un aviso de inmediato y permanece en la página del sitio web durante una semana, porque así es como se ve un dominio secuestrado o una migración chapucera.
En los dominios que reciben correo, la comprobación también señala un registro SPF ausente, más de un registro SPF, un registro SPF que permite enviar a cualquiera (+all) y un registro DMARC ausente. DKIM no se puede listar, así que se busca semanalmente bajo los selectores que usan los servicios de correo habituales y solo se muestra si se encuentra.
Listas negras y malware
Una vez al día se consulta cada sitio web en la lista Web Risk de Google, que hace que Chrome y otros navegadores muestren a los visitantes una página de advertencia roja en lugar del sitio web, y en la lista URLhaus de abuse.ch de descargas de malware. Cualquiera de las dos suele significar que el sitio web ha sido hackeado, y se te avisa de inmediato.
Esta comprobación necesita una clave de API de Google Web Risk, una clave de autenticación de URLhaus o ambas, guardadas en su cuadro de diálogo. Sin ninguna de las dos no se ejecuta. La API gratuita Safe Browsing de Google no tiene licencia para uso comercial, por eso se usa la API de pago Web Risk.
Cabeceras de seguridad y contenido mixto
Una vez por semana se carga la página de inicio por HTTPS y se puntúa según seis cabeceras: Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (o CSP frame-ancestors), Referrer-Policy y Permissions-Policy. Las seis dan una A, cinco una B, y así sucesivamente. Se te avisa cuando falta HSTS o se envían menos de cuatro.
También se busca en la página archivos cargados por HTTP sin cifrar. Los scripts, estilos y marcos cargados así son bloqueados por los navegadores y pueden romper la página; las imágenes y los medios pierden el candado. Solo se comprueba el HTML tal como se sirve, así que los archivos añadidos después por scripts no se ven.
Rendimiento en laboratorio
Una vez por semana, PageSpeed Insights de Google prueba cada página de inicio móvil en un teléfono simulado y la puntúa sobre 100, con sus tiempos de carga, bloqueo y desplazamiento de diseño. Se conservan las últimas 12 puntuaciones semanales. Se te avisa cuando la puntuación es inferior a 50 o baja 15 puntos o más desde la prueba anterior, a menudo antes de que los Core Web Vitals de los visitantes reales lo reflejen. Usa la misma clave de API de Google que Core Web Vitals, con la API de PageSpeed Insights activada para su proyecto. La prueba se ejecuta desde los servidores de Google, no desde los nuestros.
Comprobaciones de páginas clave
Añade las páginas que más importan, como precios, registro o pago, con el texto que debe contener cada una, y elige comprobarlas cada 5, 15 o 60 minutos. Una página falla cuando no carga, responde con un error o ya no contiene el texto, lo que detecta una página rota que sigue respondiendo «200 OK». El texto se busca en la página tal como la recibe nuestro servidor, antes de que se ejecute ningún script.
Tras dos fallos seguidos, los propietarios y administradores reciben un correo de caída, se avisa a los canales de chat y se crea un problema crítico. Volverán a recibir un aviso cuando la página funcione.
Heartbeats
Cada heartbeat recibe una dirección privada, como https://saasmaestro.com/hooks/heartbeat/…. Haz que uno de tus trabajos la solicite cada vez que se ejecute, por ejemplo añadiendo curl -fsS y la dirección al final de una línea de cron. Cuentan las solicitudes GET, POST y HEAD.
Elige cada cuánto se espera un ping, desde cada 5 minutos hasta una vez por semana, y un periodo de gracia para los trabajos que tardan mucho. Si no llega ningún ping dentro del intervalo más el periodo de gracia, los propietarios y administradores reciben un correo de caída, se avisa a los canales de chat y se crea un problema crítico; se les avisa de nuevo cuando vuelve a llegar un ping. Un heartbeat no se supervisa hasta que llega su primer ping.
Páginas vigiladas y notas automáticas
SaaSMaestro vigila la página de inicio y las cinco páginas de destino más visitadas. Cuando cambian el estado, el título, la meta descripción, la directiva robots o la dirección canonical de una página, o cambia el robots.txt, se añade automáticamente una nota a la cronología marcada como «Detectado automáticamente». Lo mismo ocurre con una página que sale del índice de Google. Así, un cambio inesperado en el tráfico suele venir ya con su explicación en el gráfico.
Dónde verlo
El recuadro de cada servicio en Conexiones de datos muestra cuándo se ejecutó por última vez y cuántos sitios web requieren atención, y su icono de reloj abre los resultados recientes. La página de cada sitio web tiene una sección Salud de los sitios con los últimos resultados. Los problemas también aparecen en la lista de problemas; consulta Comprobaciones de problemas y niveles de gravedad.