Cada cabecera de seguridad recibe un aprobado, una advertencia o un fallo, con la línea exacta que añadir. Comprueba las cabeceras que envía tu sitio web, o pega las que ya tengas, y comprueba lo protegido que está tu sitio. Es gratis y no necesita cuenta.
Cómo comprobar tus cabeceras
- En la pestaña Comprobar una URL, introduce tu sitio en Dirección web y pulsa Comprobar encabezados.
- O abre la pestaña Pegar encabezados, pega los Encabezados de respuesta y pulsa Calificar estos encabezados.
- Lee la calificación y luego repasa cada línea. Cada problema viene con la línea que hay que añadir.
Qué se envía
Los navegadores no pueden leer las cabeceras de otro sitio, por lo que, cuando usas Comprobar una URL, la dirección que escribes la obtiene el servidor de Snowkit. Sigue hasta 5 redirecciones, se rinde a los 8 segundos, rechaza direcciones privadas y de red local, y no guarda lo que compruebas. Las cabeceras pegadas se califican en tu navegador y no se envían a ningún sitio.
Las cabeceras más importantes
Strict-Transport-Security hace que los navegadores usen HTTPS para tu sitio siempre. Content-Security-Policy indica de dónde pueden venir scripts, estilos y marcos, de modo que al código inyectado le cuesta ejecutarse. X-Frame-Options o CSP frame-ancestors impide que otros sitios carguen el tuyo en un marco oculto. X-Content-Type-Options: nosniff impide que los navegadores adivinen los tipos de archivo, y Referrer-Policy y Permissions-Policy limitan lo que se filtra a otros sitios y qué funciones del navegador pueden usar las páginas.
Cómo funciona la nota
Cada comprobación empieza como aprobada. HTTPS, HSTS y CSP cuentan más; la protección contra marcos, nosniff y las marcas de cookies cuentan después; las políticas de referrer y permisos y los números de versión en las cabeceras cuentan menos. Una advertencia cuesta la mitad que un fallo. La nota es un resumen rápido, así que lee cada línea: un CSP estricto con un tiempo HSTS corto aún puede ser un sitio muy bien protegido.
Dónde configurar las cabeceras
En Cloudflare Pages y Netlify, añádelas a un archivo _headers. En Vercel, usa la sección headers de vercel.json. Con nginx usa add_header, con Apache usa Header always set, y en frameworks de Node sirve un pequeño middleware. Configúralas en cada respuesta HTML, no solo en la página de inicio.
Consejos
- Añade una cabecera cada vez y prueba tu sitio después de cada una, ya que una Content-Security-Policy estricta puede bloquear cosas que funcionaban.
- Empieza por lo más fácil: nosniff, una política de referrer y protección contra marcos.
- Vuelve a comprobar después de cambiar de hosting o añadir un servicio nuevo.
- Revisa también la configuración de DNS y correo, con la consulta DNS.
Quién lo usa
Propietarios de sitios web y de pequeños negocios, freelancers que entregan un sitio y desarrolladores que revisan la seguridad antes de un lanzamiento. Para convertir una petición en código, mira el convertidor de curl.
Preguntas
¿Una buena calificación significa que mi sitio es seguro?
No. Los encabezados son una capa de protección. No sustituyen las actualizaciones, las contraseñas seguras ni un código cuidadoso.
¿Por qué no puedo comprobar una dirección local?
Se rechazan las direcciones privadas y de red local. Pega en su lugar los encabezados para calificarlos en tu navegador.
¿Guarda la dirección de mi sitio?
No. Lo que compruebas no se guarda.