Arriba por Defecto: Lo que 186,056 Sitios Web Populares Revelan Sobre la Preparación en Diversas Industrias
Presentado por Status Is UP, la plataforma hermana de habilitación de tiempo de actividad de Status Is Down. Documento técnico de la industria, octubre de 2026.
Status Is Down registra lo que sucede cuando los sitios web y los servicios en línea fallan. Este documento examina las decisiones tomadas mucho antes de un incidente: cómo un sitio maneja HTTPS, certificados, autenticación de correo electrónico, almacenamiento en caché y DNS. Esas elecciones rara vez hacen titulares, pero ayudan a decidir si una falla de rutina permanece invisible para los clientes o se convierte en una interrupción visible, una advertencia del navegador, un correo electrónico de phishing convincente o una página lenta y frágil.
La evidencia proviene de la instantánea de Preparación del Sitio Web de Status Is UP. Entre el 23 y el 24 de octubre de 2026, Status Is UP revisó la página de inicio de 207,755 sitios web populares una vez cada uno contra 31 prácticas, agrupadas en cuatro categorías: Habilitar (descubribilidad), Aumentar (seguridad y confianza), Acelerar (velocidad) y Recuperar (resiliencia). Después de excluir 21,699 sitios de adultos, juegos de azar y piratería, se publican 186,056 resultados. El sitio mediano obtiene 64 de 100 en el índice de preparación.
La instantánea no es una medida de tiempo de actividad. Registra qué prácticas podrían ser observadas en un día, desde un único punto de vista. Una práctica que no fue observada no es, por sí sola, un hallazgo de seguridad: muchas prácticas son opcionales, y algunos sitios alcanzan la misma meta de otras maneras.
Resumen ejecutivo
- La plataforma supera la popularidad. Los 1,000 sitios principales tienen un índice de preparación mediano de 67; los sitios clasificados entre 500,000 y un millón obtienen 64. Las plataformas de sitios web abarcan 16 puntos, desde 76 en Shopify hasta 60 donde no se detectó ninguna plataforma.
- El trabajo de seguridad a menudo se detiene a medias. 90.8% de los sitios redirigen HTTP a HTTPS, pero solo el 30.8% mantiene HSTS durante al menos un año. 68.7% de los dominios no tienen política DMARC o solo tienen una de monitoreo.
- Los sectores regulados se fortalecen; los sectores consumidores aceleran. El seguro y la banca lideran la categoría Aumentar (64 y 62) pero rezagan en velocidad. El comercio electrónico lidera Acelerar (69). Los servicios gubernamentales tienen el índice mediano más bajo de 30 industrias (56) y un puntaje de Acelerar de 44.
- Las vidas de los certificados son un plazo de 2027. Un certificado de cada cuatro (24.8%) dura más de 100 días, el máximo permitido a partir del 15 de marzo de 2027. En el seguro, la banca y el gobierno, la proporción supera el 60%.
- DNS está altamente concentrado. Solo el 10.6% de los sitios distribuyen sus servidores de nombres en más de un proveedor. Un proveedor, Cloudflare, responde DNS para el 35.4% de los sitios medidos.
- Compromisos a largo plazo son raros. De 138,176 sitios donde se pudieron medir cinco prácticas de “configúralo y déjalo”, 198 (0.14%) muestran las cinco y el 42.4% no muestran ninguna.
Las cuatro categorías se comportan de manera muy diferente. Los conceptos básicos de descubribilidad son generalizados, la seguridad es mixta, la velocidad depende en gran medida de la host, y la resiliencia a nivel de DNS es la excepción.
1. Los ajustes predeterminados de la plataforma importan más que la popularidad
Es tentador asumir que los sitios web más visitados son los mejor preparados. La instantánea muestra solo una pequeña diferencia. El índice de preparación mediano es de 67 para los 1,000 sitios principales, 66 para los sitios clasificados hasta 5,000 y hasta 10,000, y entre 64 y 65 para cada banda desde 50,000 hasta un millón. A través de las siete bandas de popularidad, la diferencia es de 3 puntos.
La plataforma subyacente a un sitio mueve la puntuación con mayor fuerza. Entre las plataformas con al menos 900 sitios, las tiendas de Shopify tienen una mediana de 76 (13,085 sitios), Next.js en Vercel y Webflow 73, Next.js en Cloudflare 72, Adobe Experience Manager 71 y Magento 70. WordPress, la plataforma más grande de la muestra con 30,664 sitios, tiene una mediana de 64. PrestaShop y Bitrix están en 61, y los 115,524 sitios sin plataforma detectada en 60.
La razón son los valores predeterminados. Una plataforma alojada toma muchas decisiones en nombre del propietario. En Shopify, el 95.7% de las tiendas negocian HTTP/3 y el 98.2% envían el encabezado de seguridad nosniff. En los sitios de Next.js hospedados por Vercel, el 97% mantienen HSTS durante al menos un año. En WordPress, las mismas tasas son del 38% para HTTP/3, 22.3% para HSTS y 29.1% para nosniff, porque cada propietario, tema y host decide por separado.
Los valores predeterminados también establecen techos. 12,350 tiendas de Shopify envían exactamente la misma duración de HSTS, 7,889,238 segundos, o alrededor de 91 días. Eso está por debajo del umbral de un año utilizado por Status Is UP y por la lista de precarga del navegador, por lo que solo el 3.7% de los sitios de Shopify pasan la verificación de HSTS, aunque casi todos redirigen a HTTPS. Cuando una plataforma elige un valor, casi cada sitio en ella hereda ese valor.
El patrón se mantiene dentro de una sola industria. Entre los sitios de comercio electrónico, 10,109 tiendas de Shopify tienen una mediana de 76, las tiendas de Magento y Next.js 70, las tiendas sin plataforma detectada 66, las tiendas de WordPress 64 y las de PrestaShop 61.
La popularidad cambia la mezcla de prácticas en lugar del total. Los 1,000 sitios principales son mucho más propensos a hacer cumplir DMARC (60.5%, frente al 24.1% para sitios clasific...0-0%)