Análisis de cabeceras de seguridad

Revisa tus cabeceras de seguridad y corrígelas en minutos.

Las cabeceras de seguridad indican a los navegadores cómo proteger a tus visitantes de scripts inyectados, clickjacking y fugas de datos. Mira cuáles te faltan, con líneas que puedes pegar en tu servidor o CDN.

Análisis pasivo. Nada se ataca sin tu permiso.

Cabeceras que revisamos

  • Strict-Transport-Security (HSTS): que esté presente y dure lo suficiente para servir de algo.
  • Content-Security-Policy: la principal defensa contra scripts inyectados y skimmers de tarjetas.
  • X-Frame-Options (o frame-ancestors de CSP): impide que otros sitios enmarquen el tuyo para hacer clickjacking.
  • X-Content-Type-Options: nosniff.
  • Referrer-Policy y Permissions-Policy.
  • Atributos de las cookies (Secure, HttpOnly, SameSite) y cabeceras que revelan versiones del servidor.

Un conjunto inicial seguro

Estas cabeceras son seguras para casi cualquier sitio. Empieza por aquí y después añade una Content-Security-Policy en modo de solo informe.

nginx
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Las versiones para Apache, Cloudflare y WordPress están en la guía de cabeceras de seguridad.

Más que una letra

Una nota de cabeceras por sí sola no te dice qué hacer a continuación. HackGrade pone las cabeceras en contexto con HTTPS, las versiones de software, WordPress y el correo, para que corrijas primero lo más arriesgado.

Preguntas frecuentes

¿Qué cabeceras de seguridad importan más?

Para la mayoría de los sitios pequeños: primero HTTPS con HSTS, después X-Content-Type-Options, una política de marcos y Referrer-Policy (todas de bajo riesgo), y luego una Content-Security-Policy, que requiere algunas pruebas.

¿Pueden las cabeceras de seguridad romper mi sitio?

Las básicas rara vez lo hacen. Una Content-Security-Policy estricta puede bloquear scripts de los que dependes; por eso recomendamos empezar con Content-Security-Policy-Report-Only.

¿Sigue haciendo falta X-XSS-Protection?

No. Los navegadores modernos han eliminado el filtro XSS que controlaba. MDN recomienda una Content-Security-Policy en su lugar, así que no penalizamos la falta de la cabecera X-XSS-Protection.

Guías con soluciones para copiar y pegar

Guía

Cabeceras de seguridad

Cabeceras de seguridad HTTP para copiar y pegar en nginx, Apache (.htaccess), Cloudflare y WordPress: HSTS, X-Content-Type-Options, protección de marcos, Referrer-Policy y Permissions-Policy.

Guía

Content-Security-Policy

Implanta una Content-Security-Policy sin romper tu sitio: empieza en modo de solo informe, crea una lista de permitidos y después aplícala. Ejemplos para nginx, Apache y WordPress.

Guía

HSTS

Qué hace HSTS, por qué empezar con un max-age corto, cuándo usar includeSubDomains y preload, con líneas para copiar y pegar en nginx, Apache y Cloudflare.

Guía

Atributos de seguridad de las cookies

Qué hacen los atributos Secure, HttpOnly y SameSite de las cookies y cómo configurarlos en PHP, WordPress, nginx y Apache, sin romper las cookies que necesitan tus scripts.

Guía

Ocultar versiones del servidor y PHP

Deja de anunciar las versiones de tu software: server_tokens en nginx, ServerTokens en Apache, expose_php en PHP y la etiqueta generator de WordPress, y por qué actualizar importa más que ocultar.

Más análisis gratuitos

Gratis · Al instante · Sin registro

Conoce tu nota antes que nadie.

Análisis pasivo. Nada se ataca sin tu permiso.

Empieza gratis. Planes de pago desde 12 $ al mes, o un informe único por 29 $. Ver precios