Google confirma que las opciones X-Frame son importantes para el SEO.

Google confirma que las opciones X-Frame son importantes, pero rara vez se explican con claridad. ¿Cuáles afectan realmente al posicionamiento en Google? ¿Cuáles son solo buenas prácticas de seguridad? El 22 de junio de 2026, John Mueller de Google respondió exactamente esa pregunta en Reddit, y su respuesta tiene implicaciones concretas para cualquier profesional SEO que realice auditorías técnicas.

¿Qué son las cabeceras de seguridad HTTP?

Las cabeceras de seguridad HTTP (HTTP security headers) son directivas que el servidor web envía al navegador junto con cada respuesta. Le indican al navegador cómo debe comportarse para proteger al usuario frente a ataques comunes como el robo de sesión, la inyección de scripts maliciosos o la suplantación de contenido.

Algunos ejemplos de los ataques que mitigan estas cabeceras:

¿Qué dijo John Mueller de Google sobre las cabeceras de seguridad y el SEO?

El detonante fue una pregunta publicada en el subreddit r/TechSEO donde un profesional preguntaba qué cabeceras de seguridad debería revisar en una auditoría técnica SEO completa. La lista que mencionaba incluía CSP, X-Frame-Options, X-Content-Type-Options y Permissions-Policy.

La respuesta de Mueller confirma algo que muchos SEO intuían pero no tenían respaldo oficial: X-Frame-Options tiene relevancia directa para el SEO, no solo para la seguridad. El resto de cabeceras, aunque no influyen directamente en el ranking, sí protegen tu posicionamiento de forma indirecta, como veremos a continuación.

X-Frame-Options y SEO: ¿Por qué es la cabecera más importante?

La cabecera X-Frame-Options lleva casi dos décadas en uso, pero sigue siendo totalmente relevante. Su función principal es impedir que terceros carguen tu sitio web dentro de un elemento <iframe> en su propio dominio.

Esto tiene una implicación directa para el SEO: si alguien puede incrustar tu contenido en un iframe, ese otro sitio podría estar indexándose con tu contenido y compitiendo contigo en Google. Básicamente, te roban el contenido sin ni siquiera copiarlo técnicamente.

¿Cómo configurar X-Frame-Options correctamente?

Configura la cabecera X-Frame-Options en tu servidor con el valor SAMEORIGIN, que permite que tu propio sitio se enmarque a sí mismo pero bloquea a otros dominios, o DENY si quieres bloquear todo enmarcado incluso desde tu propio dominio.

La forma de añadirla depende de tu servidor. En Nginx se hace con add_header X-Frame-Options «SAMEORIGIN» always; en Apache con Header always set X-Frame-Options «SAMEORIGIN»; en Express con res.setHeader(«X-Frame-Options», «SAMEORIGIN»); y en IIS añadiendo la entrada correspondiente dentro de customHeaders en el web.config.

Es importante que la cabecera se envíe en todas las respuestas HTML, no solo en algunas rutas, y evitar el valor ALLOW-FROM porque está obsoleto y ya no tiene soporte fiable en los navegadores modernos.

Hoy en día se recomienda complementarla con Content-Security-Policy usando la directiva frame-ancestors ‘self’, que es el estándar más moderno y ofrece más flexibilidad, ya que permite especificar varios dominios en lugar de solo uno. Enviar ambas cabeceras a la vez asegura compatibilidad tanto con navegadores antiguos como modernos.

Guía completa de cabeceras de seguridad HTTP relevantes para el SEO técnico

Aunque Mueller solo señaló X-Frame-Options como la cabecera con impacto directo en el SEO, ignorar el resto puede tener consecuencias muy negativas para tu posicionamiento. Una web comprometida o hackeada pierde rankings. Por eso, estas cabeceras también pertenecen a cualquier auditoría técnica SEO completa.

• 🔒 Strict-Transport-Security (HSTS) — Obligatoria: Fuerza al navegador a conectarse siempre mediante HTTPS. Desde 2014, Google usa HTTPS como factor de posicionamiento. Sin HSTS, un ataque man-in-the-middle podría degradar la conexión a HTTP. Relevancia SEO directa: media. Relevancia para mantener el ranking: alta.
• 🛡️ X-Content-Type-Options — Obligatoria: Con el valor nosniff, impide que el navegador interprete archivos con un tipo MIME diferente al declarado. Reduce el riesgo de ataques XSS que podrían inyectar código malicioso en tu web e invalidar su reputación ante Google. Relevancia SEO indirecta: alta.
• 🖼️ X-Frame-Options — Directamente relevante para SEO: Como ya explicamos, impide que otros sitios incrusten tu contenido en iframes para aprovecharse de él. La única cabecera que John Mueller señaló explícitamente como con impacto directo en el SEO.
• 📋 Content-Security-Policy (CSP) — Muy recomendada: Restringe qué recursos puede cargar el navegador (scripts, estilos, imágenes) y desde qué orígenes. Una CSP bien configurada puede prevenir ataques XSS que comprometan tu web y provoquen una penalización manual de Google. Incluye la directiva frame-ancestors como alternativa moderna a X-Frame-Options.
• 🔗 Referrer-Policy — Opcional pero recomendada: Controla qué información de referencia se comparte cuando un usuario hace clic en un enlace de salida. Puede configurarse también a nivel HTML con la etiqueta meta <meta name=»referrer» content=»origin»>. Útil para controlar los datos de referrer que recibirán tus competidores si te enlazan.
• ⚙️ Permissions-Policy — Situacional: Limita qué APIs de hardware y funcionalidades del navegador pueden usarse en tu sitio (cámara, micrófono, geolocalización). Tiene soporte limitado en algunos navegadores populares, pero su adopción va en aumento. Más información disponible en MDN Web Docs.

¿Cómo añadir cabeceras de seguridad en WordPress?

La buena noticia para los usuarios de WordPress es que no hace falta tocar el archivo .htaccess ni el servidor manualmente. Existen plugins que gestionan estas cabeceras desde el panel de administración.

¿Cómo verificar las cabeceras de seguridad de tu sitio web?

Comprobar si tu web tiene correctamente configuradas las cabeceras de seguridad es rápido y gratuito. Estas son las herramientas más utilizadas por los profesionales SEO:

¿Deben incluirse las cabeceras de seguridad en una auditoría SEO técnica?

La respuesta es sí, y el razonamiento es sencillo: todo lo que puede hacer que un sitio pierda rankings es un asunto de SEO. Un sitio hackeado, comprometido o que sirve contenido malicioso no solo pierde su posicionamiento: puede recibir una penalización manual de Google o aparecer en listas negras de seguridad.

La mayoría de herramientas de auditoría SEO profesionales ya incluyen la revisión de HTTPS y HSTS. El siguiente paso lógico es ampliar ese checklist con el resto de cabeceras de seguridad principales, especialmente X-Frame-Options, que según Mueller tiene impacto SEO directo.

Preguntas frecuentes

Referencias y fuentes