Ver cabeceras HTTP: lee lo que tu servidor envía de verdad

Cada página y cada archivo llega con un bloque de cabeceras HTTP de respuesta antes del primer byte de contenido. Los visitantes nunca las ven, pero los buscadores las leen con atención: una sola cabecera puede impedir que se indexe una página, indicar su URL canónica o decidir cuánto tiempo se guarda en caché y si va comprimida.

Este comprobador de cabeceras HTTP solicita la URL y muestra las cabeceras de respuesta en bruto, tal como se devuelven: la línea de estado, server, cache-control, content-type, content-encoding, X-Robots-Tag, Link y Strict-Transport-Security. Las relevantes para el SEO llevan una breve explicación, de modo que un noindex perdido o una compresión ausente destacan enseguida.

Cómo comprobar las cabeceras HTTP

1. Introduce la URL

   Pega la dirección de cualquier página, imagen o PDF. Los servidores suelen tratar de forma distinta cada tipo de archivo, así que prueba la URL exacta que te interesa.

2. Lee la respuesta en bruto

   Ves el código de estado y el nombre y valor de cada cabecera, en el orden en que las envió el servidor.

3. Actúa según las notas

   Se explican las cabeceras relevantes para el SEO y se resaltan los valores que conviene corregir, como un X-Robots-Tag inesperado.

Cómo leer una respuesta, línea a línea

HTTP/2 200
content-type: text/html; charset=UTF-8
content-encoding: br
cache-control: public, max-age=300
link: <https://www.example.com/pricing>; rel="canonical"
x-robots-tag: noindex
strict-transport-security: max-age=31536000; includeSubDomains
vary: Accept-Encoding
server: nginx

• Línea de estado: el 200 es el que tienen en cuenta los rastreadores, diga lo que diga el texto de la página.
• content-type: HTML en UTF-8. Un juego de caracteres incorrecto estropea los acentos en los títulos y los fragmentos.
• content-encoding: br (Brotli) o gzip significa que la respuesta se comprimió. Los rastreadores de Google admiten gzip, deflate y Brotli.
• cache-control: durante cuánto tiempo pueden reutilizar la respuesta los navegadores y los CDN.
• link y x-robots-tag: instrucciones de indexación. Aquí la página se eliminaría del índice a pesar de su canonical.
• strict-transport-security: fuerza HTTPS en futuras visitas (HSTS).

Los nombres de las cabeceras no distinguen mayúsculas de minúsculas (RFC 9110); HTTP/2 y HTTP/3 las envían en minúsculas.

Cabeceras que se imponen a tu HTML

Dos cabeceras llevan instrucciones de indexación y además funcionan con archivos que no tienen <head>, como los PDF y las imágenes:

• X-Robots-Tag acepta las mismas reglas que la metaetiqueta robots (noindex, nofollow, nosnippet, max-snippet, unavailable_after) y puede dirigirse a un solo rastreador, como en X-Robots-Tag: googlebot: noindex. Consulta la especificación de Google sobre la metaetiqueta robots y X-Robots-Tag.
• Link puede declarar rel="canonical" y alternativas hreflang para archivos que no son HTML.

Para mantener los PDF fuera de la búsqueda en Apache, y lo mismo en Nginx:

<FilesMatch "\.pdf$">
  Header set X-Robots-Tag "noindex"
</FilesMatch>

location ~* \.pdf$ {
    add_header X-Robots-Tag "noindex";
}

El accidente clásico es el inverso: una regla de pruebas como Header set X-Robots-Tag "noindex" que pasa a producción y desindexa en silencio todas las páginas. Nunca aparece en el código fuente de la página, solo en las cabeceras. El comprobador de indexabilidad la prueba junto con la metaetiqueta robots y robots.txt.

Cabeceras de caché y compresión

El HTML suele recibir un max-age corto, o no-cache con revalidación, para que las actualizaciones se vean pronto. Los archivos estáticos con versión, cuyo nombre cambia con su contenido (app.3f9a1c.css), pueden guardarse en caché durante un año con cache-control: public, max-age=31536000, immutable.

Los validadores también ayudan al rastreo. Con una cabecera ETag o Last-Modified, los rastreadores de Google pueden enviar una solicitud condicional y recibir un breve 304 Not Modified en lugar de la página completa (resumen de los rastreadores de Google). Espera vary: Accept-Encoding en las respuestas comprimidas, y vary: User-Agent si sirves HTML distinto a móviles y ordenadores en la misma URL. Si el HTML, el CSS o el JavaScript llegan sin content-encoding, activa Brotli o gzip; el test de velocidad web muestra lo que te cuesta.

Cabeceras que dicen demasiado

server: Apache/2.4.41 (Ubuntu) o x-powered-by: PHP/7.4.3 indican a los atacantes exactamente qué versiones buscar. Ocúltalas con ServerTokens Prod en Apache, server_tokens off; en Nginx y expose_php = Off en php.ini. Para las cabeceras de protección que conviene añadir en su lugar, como Content-Security-Policy y Referrer-Policy, usa el comprobador de cabeceras de seguridad.

Consejos para revisar las cabeceras

• Prueba una URL de cada tipo (una página, una imagen, un PDF, una hoja de estilos), porque los servidores suelen aplicar reglas distintas a cada una.
• Compara la respuesta de tu CDN con la de tu servidor de origen; las reglas del CDN pueden añadir, quitar o reescribir cabeceras.
• Busca duplicados, como dos líneas cache-control o dos X-Robots-Tag definidas a la vez por un plugin y por el servidor.
• Desde un terminal, curl -s -D - -o /dev/null https://example.com muestra las cabeceras de una solicitud GET real; algunos servidores responden de forma distinta a las solicitudes HEAD (curl -I).
• Tras cambiar la configuración del servidor, vacía la caché del CDN antes de volver a probar, o podrías estar viendo una copia antigua.

Límites a tener en cuenta

Mostramos la respuesta a una solicitud desde nuestro servidor, sin cookies ni sesión iniciada. Las cabeceras pueden variar según el user agent, el país, el dispositivo, las cookies o el nodo del CDN, y algunos cortafuegos responden a las solicitudes automatizadas de forma distinta que a los navegadores. Solo se muestran las cabeceras de respuesta, no las de solicitud que envía tu navegador; para esas, abre Chrome DevTools, elige la pestaña Network y haz clic en la solicitud del documento.

Última actualización: 30 oct 2026 por el equipo de Yes SEO.