Aprobado — nivel profesional

Cómo está repartido

Cada área se mide de 0 a 100 y pesa distinto en la nota final. Abajo de 85 hay algo para arreglar; arriba de 90 está bien.

Qué arreglar primero

Estos son los puntos que más cambian el resultado. En orden: el primero es el que más conviene tocar hoy.

1. Letra demasiado chicaSubir el tamaño base a 18-20 px y usar rem para que respete el zoom.
2. Hay identificadores repetidosCambiar el id repetido por uno distinto.
3. Falta el candado permanente (HSTS)Agregar Strict-Transport-Security: max-age=31536000; includeSubDomains.
4. Falta la lista de permitidos (CSP)Empezar con default-src 'self'; img-src 'self' data:; style-src 'self' 'unsafe-inline'.
5. La página se puede meter dentro de otraAgregar X-Frame-Options: SAMEORIGIN o frame-ancestors 'self' en la CSP.

Todos los puntos, uno por uno

Cada ficha dice qué se midió, cómo se arregla y cómo comprobar que quedó bien.

Medio (8)

Bajo (5)

Mejora (7)

El pedido listo para pegar

Este texto tiene todos los arreglos juntos. Se copia y se pega en Claude Code para que los haga de una pasada.

Revisá y corregí estos puntos del sitio https://pintureria-paleta.pages.dev.
No cambies el diseño ni los textos visibles: solo lo que dice cada punto.
Cuando termines, avisame qué archivo tocaste en cada uno.

1. [Medio] Letra demasiado chica
   Qué pasa: Letra de 15 px en .mini (y 9 caso(s) más)
   Qué hacer: Subir el tamaño base a 18-20 px y usar rem para que respete el zoom.
   Cómo se comprueba: Mirar la página en el celular a un brazo de distancia: se lee sin esfuerzo.

2. [Medio] Hay identificadores repetidos
   Qué pasa: Se repiten: muestras
   Qué hacer: Cambiar el id repetido por uno distinto.
   Cómo se comprueba: Buscar el id en el código: tiene que aparecer una sola vez.

3. [Medio] Falta el candado permanente (HSTS)
   Qué pasa: No hay cabecera Strict-Transport-Security
   Qué hacer: Agregar Strict-Transport-Security: max-age=31536000; includeSubDomains.
   Cómo se comprueba: curl -I y buscar strict-transport-security.

4. [Medio] Falta la lista de permitidos (CSP)
   Qué pasa: No hay cabecera Content-Security-Policy
   Qué hacer: Empezar con default-src 'self'; img-src 'self' data:; style-src 'self' 'unsafe-inline'.
   Cómo se comprueba: curl -I y buscar content-security-policy.

5. [Medio] La página se puede meter dentro de otra
   Qué pasa: Sin X-Frame-Options ni frame-ancestors
   Qué hacer: Agregar X-Frame-Options: SAMEORIGIN o frame-ancestors 'self' en la CSP.
   Cómo se comprueba: curl -I y buscar la cabecera.

6. [Medio] Falta la dirección oficial de la página
   Qué pasa: No hay <link rel="canonical">
   Qué hacer: Agregar <link rel="canonical" href="https://tudominio.com/">.
   Cómo se comprueba: Ver el código: una sola dirección canónica, la definitiva.

7. [Medio] Falta la vista previa al compartir
   Qué pasa: Faltan og:title, og:description, og:image
   Qué hacer: Agregar og:title, og:description y og:image (1200x630) en el head.
   Cómo se comprueba: Pegar el link en un chat de WhatsApp: tiene que salir foto y título.

8. [Medio] Falta la ficha del negocio para Google
   Qué pasa: No hay datos estructurados JSON-LD
   Qué hacer: Agregar un JSON-LD de tipo LocalBusiness con nombre, dirección, teléfono y horario.
   Cómo se comprueba: Pegar la URL en el validador de resultados enriquecidos de Google.

9. [Bajo] Los títulos saltan de nivel
   Qué pasa: Ejemplo: de h2 a h4 sin pasar por el del medio
   Qué hacer: Usar la escalera: h1, h2, h3, sin saltar.
   Cómo se comprueba: Recorrer los títulos de arriba a abajo: tienen que bajar de a uno.

10. [Bajo] Renglones demasiado apretados
   Qué pasa: Hay line-height menor a 1,2
   Qué hacer: Subir el interlineado del texto corrido a 1,5-1,6.
   Cómo se comprueba: Leer un párrafo largo en el celular: las líneas no se tienen que pegar.

11. [Bajo] Sin política de privacidad
   Qué pasa: No hay enlace a privacidad
   Qué hacer: Agregar una página corta de privacidad y linkearla en el pie.
   Cómo se comprueba: Buscar 'privacidad' en el pie de página: tiene que estar.

12. [Bajo] Sin ícono en la pestaña
   Qué pasa: No hay <link rel="icon">
   Qué hacer: Agregar favicon.ico o un SVG de 32x32.
   Cómo se comprueba: Mirar la pestaña: tiene que verse el logo.

13. [Bajo] Demasiados colores sueltos
   Qué pasa: 48 colores distintos escritos a mano
   Qué hacer: Mover los colores a variables (--tinta, --acento) y usar solo esas.
   Cómo se comprueba: Contar los colores del CSS: la mayoría tienen que venir de variables.

14. [Mejora] Sin prueba de que otros ya compraron
   Qué pasa: No hay testimonios, reseñas ni cantidad de clientes
   Qué hacer: Poner 2 o 3 frases de clientes con nombre y localidad, o la calificación de Google.
   Cómo se comprueba: Mirar la página: tiene que haber caras o nombres reales.

15. [Mejora] Precios sin aclarar qué incluyen
   Qué pasa: Hay precios y no se aclara IVA, unidad ni forma de pago
   Qué hacer: Aclarar junto al precio: 'por bolsa', 'IVA incluido', 'hasta agotar stock'.
   Cómo se comprueba: Leer los precios: cada uno tiene que decir por qué unidad es.

16. [Mejora] La misma foto para celular y compu
   Qué pasa: No hay srcset ni <picture>
   Qué hacer: Generar dos tamaños (800 y 1600 px) y usar srcset.
   Cómo se comprueba: Con la red del celular, comparar el peso de la imagen antes y después.

17. [Mejora] Sin límites de cámara, micrófono y ubicación
   Qué pasa: No hay Permissions-Policy
   Qué hacer: Agregar Permissions-Policy: geolocation=(), camera=(), microphone=().
   Cómo se comprueba: curl -I y buscar permissions-policy.

18. [Mejora] Correo a la vista (imán de spam)
   Qué pasa: Aparece hola@paleta.com.ar
   Qué hacer: Mostrarlo como formulario o con la imagen/dirección protegida.
   Cómo se comprueba: Buscar '@' en el texto visible.

19. [Mejora] Sin tarjeta para Twitter/X
   Qué pasa: No hay twitter:card
   Qué hacer: Agregar <meta name="twitter:card" content="summary_large_image">.
   Cómo se comprueba: Compartir el link en X: tiene que salir grande la foto.

20. [Mejora] Pocos enlaces internos
   Qué pasa: 0 enlaces internos
   Qué hacer: Agregar enlaces a secciones y a otras páginas del sitio.
   Cómo se comprueba: Contar los enlaces internos del código.

Candado y cabeceras: se arreglan todas juntas

Los puntos de seguridad se resuelven con un solo archivo de texto llamado _headers que se sube junto a la página. Es como la lista de instrucciones que se pega en la puerta del local: el servidor la lee y la aplica a todo.

# Archivo _headers — va en la raíz del sitio (Cloudflare Pages)
# Ojo: cada bloque empieza con la ruta y las líneas van con dos espacios.

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains
  X-Content-Type-Options: nosniff
  X-Frame-Options: SAMEORIGIN
  Referrer-Policy: strict-origin-when-cross-origin
  Permissions-Policy: geolocation=(), camera=(), microphone=()
  Content-Security-Policy: default-src 'self'; img-src 'self' data:; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline'; font-src 'self'

/assets/*
  Cache-Control: public, max-age=31536000, immutable

Qué NO mide esta revisión