Una web de resort que Google, las redes sociales y los asistentes de IA sí pueden leer

El punto de partida

El Hotel Marien es un resort de 4 estrellas todo incluido con 349 habitaciones en Puerto Plata, en la costa norte de República Dominicana. Polargate diseñó y desarrolló su web bilingüe, entregada en marzo de 2026, y desde entonces la mantiene con una cuota mensual. El proyecto incluyó el motor de reservas Paraty Tech, SEO técnico y de contenido, blindaje de seguridad, hosting y copias, y la puesta en marcha de la analítica con GA4, Tag Manager y Search Console. Desde julio de 2026 el hotel usa además una app de huéspedes con su marca sobre Estevano, la plataforma hotelera propia de Polargate, en marien.estevano.com: conserje con IA, reservas de restaurante y spa, servicio de habitaciones e incidencias, con un cartel QR de recepción generado a partir de los colores de marca del hotel.

Lo que encontró la auditoría

En junio de 2026 Polargate hizo una auditoría de caja negra y caja blanca sobre cuatro pilares: seguridad, SEO, estructura y posicionamiento ante buscadores con IA.

• Las URL inexistentes devolvían HTTP 200 en lugar de un 404 real, así que los buscadores trataban erratas y enlaces rotos como páginas válidas.
• La Content-Security-Policy vivía en una etiqueta meta, de modo que la directiva frame-ancestors nunca se aplicaba y la protección contra clickjacking no servía de nada.
• Cada subpágina servía el título, el canonical y las etiquetas Open Graph de la portada, porque el contenido se pintaba en el navegador.
• Los datos estructurados incluían una valoración media que no se podía contrastar con ninguna fuente real.

Tres de esos puntos eran P0. Los tres se cerraron y se verificaron en producción ese mismo mes.

Lo que reconstruimos

• Cabeceras de seguridad HTTP de verdad: CSP con frame-ancestors none, X-Frame-Options DENY, HSTS con preload, nosniff, Referrer-Policy y Permissions-Policy.
• Primero un head estático por ruta y después generación estática completa con vite-react-ssg sobre Vite, React y TypeScript, con Tailwind y shadcn/ui en la interfaz. Las 22 rutas públicas entregan HTML completo en español e inglés, con hreflang bidireccional y una única fuente de rutas en el código.
• Salida total de la plataforma no-code hacia un proyecto Supabase propio: el formulario de contacto como función edge en Deno, con CORS restringido al dominio del hotel, honeypot en servidor, RLS forzada en la tabla de mensajes y envío por Resend desde un subdominio verificado.
• Grafos schema.org generados desde los ficheros de traducción: Hotel, cinco HotelRoom, cinco Restaurant, el spa, FAQPage, BreadcrumbList y un nodo WebPage con dateModified y speakable. Más llms.txt y llms-full.txt, y un robots.txt que deja pasar a los rastreadores de IA y bloquea a los que solo consumen ancho de banda.
• La valoración no verificable, sustituida por la puntuación real del hotel en TripAdvisor y dos reseñas visibles de huéspedes, enlazadas a sus perfiles verificados de TripAdvisor, Booking y Google Maps.

Cómo funciona hoy

La web vive en Vercel con el DNS en Route 53, y la analítica pasa por GA4, Tag Manager y Search Console con consentimiento previo. El trabajo de rendimiento bajó la imagen principal en móvil de unos 288 KB a unos 98 KB con srcset, y la imagen de vista previa social de 1,74 MB a 136 KB. El día 1 de cada mes, una rutina programada de Claude revisa la web en vivo y el repositorio (búsqueda con IA, Core Web Vitals, cosas rotas y seguridad), verifica cada hallazgo de forma adversarial y emite un informe. No despliega nada por su cuenta. Polargate revisa los hallazgos, aplica las correcciones y envía a la dirección del hotel un informe de mantenimiento en lenguaje claro.