Ni uno solo de los 29 centros de sanidad privada auditados escapa al mismo fallo: operar sin Content-Security-Policy (cabecera de seguridad)

Resumen ejecutivo

Global Growth Consulting ha analizado el sector sanidad privada español partiendo del censo oficial del Estado — 77.294 empresas del grupo CNAE 862 según el INE (DIRCE 2025), con la advertencia de siempre: el grupo CNAE 862 incluye otras especialidades y el universo específico de los centros de sanidad privada es una fracción de esa cifra — y cruzándolo con auditorías técnicas completas de una muestra propia de 29 centros del sector con presencia web. El resultado dibuja un patrón que se repite en todo el observatorio: presencia digital correcta en lo visible y deuda técnica sistemática en lo que convierte visitas en clientes de empresa.

El score digital medio observado es de 78,1/100 (muestra auditada n=29, margen ±3,0 al 95 %). El fallo más extendido — sin Content-Security-Policy (cabecera de seguridad) — afecta al 100 % de la muestra (n=29). Es decir: aprobado en lo visible, suspenso en la infraestructura de captación.

El hallazgo principal: el 100 % de la muestra está sin Content-Security-Policy (cabecera de seguridad)

De los 29 centros de sanidad privada auditados con dato evaluable en este control, 29 (100 %) están sin Content-Security-Policy (cabecera de seguridad). No es un fallo exótico: es el más extendido de la muestra, y se corrige en horas, no en meses. Para un sector donde la captación se decide cada vez más en digital, el estándar técnico bajo es también una ventana: cumplir lo básico es un diferenciador vacante.

Score medio de 78,1/100, con los fallos concentrados en lo que no se ve

Sobre la muestra auditada (n=29), el score global medio es 78,1/100 ± 3,0 (IC 95 %): webs que cumplen en lo visible —cargan, se leen, posicionan la marca— y fallan en seguridad, móvil y medición.

• Seguridad de cabeceras: el 100 % sirve su web sin Content-Security-Policy (n=29) y el 79,3 % sin HSTS (n=29); el 89,7 % carece de protección anti-clickjacking (n=29). Son webs que recogen datos de contacto sin las protecciones que cualquier auditor considera básicas.
• Móvil: el 96,6 % presenta objetivos táctiles insuficientes (n=29) y el 68,4 % no sirve imágenes en formatos modernos WebP/AVIF (n=19).
• Velocidad: el 72,4 % carga scripts que bloquean el primer renderizado (n=29), penalizando la primera visita.

Medición y píxeles: solo 7 de 29 con Meta Pixel verificable

Solo 7 de 29 centros auditados muestran Meta Pixel verificable en la carga inicial de su web y 0 de 29 el LinkedIn Insight Tag — el canal natural de remarketing B2B. En el resto no consta o no es verificable (puede cargar tras el consentimiento de cookies; no afirmamos que no lo tengan). La consecuencia práctica es la misma: sin píxel no hay audiencias de remarketing, y cada visitante que no contacta a la primera se pierde sin dejar rastro medible.

Geografía: Comunidad de Madrid, Cataluña y Andalucía concentran el 55,7 % del censo

El censo oficial reparte las 77.294 empresas del grupo CNAE 862 de forma muy concentrada: las tres primeras comunidades reúnen el 55,7 % del total, y Madrid es la primera provincia por locales del sector (33.833, el 18,9 % del total provincial). Para un centro, la competencia relevante no es nacional sino metropolitana.

Pendiente de ampliar muestra: lo que aún no publicamos

Datos deseables que no se publican en este informe por muestra o granularidad insuficientes:

• Score medio con n ≥ 100 para reducir el margen de ±3,0 y poder publicar deciles; hoy la muestra es de 29.
• Scores territoriales: solo se publicarán cuando haya muestra propia suficiente en la provincia o comunidad.
• Censo específico del nicho: el CNAE no separa los centros de sanidad privada dentro del grupo 862; la referencia sectorial más ajustada disponible es 440 hospitales privados (centros con internamiento; NO incluye clínicas ambulatorias ni policlínicas sin camas) (Fundación IDIS).
• Velocidad de carga (Core Web Vitals) medida en campo, no solo checks estáticos.