Una web de hotel bilingüe que los rastreadores y los asistentes de IA sí leen

Qué encontramos

Una auditoría externa y una revisión del código, el mismo día, dieron el mismo diagnóstico. La web era una sola página renderizada en el navegador, así que un rastreador recibía un contenedor y nada más. La versión en inglés no tenía URLs propias, las subrutas devolvían 404 y no se enviaba ninguna cabecera de seguridad. El formulario de contacto escribía en una tabla de Supabase que cualquier visitante anónimo podía leer, una exposición de datos personales que cerramos ese mismo día.

• Contenido en el HTML servido: vacío
• URLs indexables: una
• Cabeceras de seguridad: ninguna
• Formulario de contacto: guardaba el mensaje, no entregaba nada

Qué construimos

Mantuvimos el diseño y reconstruimos la entrega. La web funciona con Vite, React 18 y TypeScript, con Tailwind y shadcn/ui, prerenderizada en el build por vite-react-ssg y desplegada en Vercel. El idioma va en la ruta: español en la raíz, inglés bajo /en/, cada página prerenderizada en su idioma con su título, su descripción, su canonical y su hreflang, con etiquetas de retorno y x-default.

Un único fichero, src/lib/schema.ts, guarda los datos del hotel. De ahí salen la página visible, el grafo JSON-LD (Hotel, Organization, WebSite, HotelRoom, EventVenue, FAQPage, BreadcrumbList y un ReserveAction que apunta al motor de reservas Paraty Tech del hotel) y los ficheros llms.txt y llms-full.txt. Publicamos 27 preguntas reales de recepción en seis grupos, con elementos details nativos, para que un asistente las lea sin ejecutar JavaScript.

El formulario es una Edge Function en Deno sobre Supabase: honeypot, control de tiempo, validación en servidor, límite de envíos por IP hasheada, inserción con la clave de servicio y sin permisos para el rol anónimo, y entrega con Resend desde un subdominio de envío propio, que no toca el correo Microsoft 365 del hotel. La analítica es GA4 con Consent Mode v2 denegado por defecto y el mapa solo carga tras el consentimiento.

Cómo se mantiene hoy

La web está bajo una cuota mensual de Care, y esa cuota incluye un ciclo de auditoría, no solo parches. En agosto de 2026 lanzamos una auditoría multiagente en seis áreas, con un segundo agente intentando refutar cada hallazgo antes de aceptarlo: 48 hallazgos, 48 confirmados, ninguno refutado, 16 de ellos errores reales en producción.

• Solo una de las dos habitaciones llegaba al HTML prerenderizado
• Las páginas en inglés se servían con lang="es"
• La imagen principal quedaba oculta hasta la hidratación, tras una cortina de 4,5 segundos
• Un fallo de herencia de grupos en robots.txt
• Coordenadas del hotel desviadas unos 430 metros

Se corrigió todo y se verificó en vivo desde fuera de la red del cliente. La política de seguridad de contenido pasó de report-only a enforce sin un solo error en consola, se eliminaron 66 ficheros huérfanos y 33 dependencias sin uso, y 20 tests de vitest tumban el build si el español y el inglés se separan, si dos páginas comparten título o si los datos estructurados dejan de coincidir con lo que lee una persona.