¿Para qué sirven las cabeceras de seguridad?
Con unas pocas líneas en la configuración del servidor web le dices al navegador con qué rigor debe tratar tu web: cargarla solo por HTTPS, no ejecutar scripts ajenos, no mostrarla dentro de marcos ajenos. No cuesta nada y descarta clases enteras de ataques.
Las seis cabeceras más importantes
- Strict-Transport-Security (HSTS): el navegador solo carga la web por HTTPS, aunque alguien escriba http:// o pulse un enlace antiguo.
- Content-Security-Policy (CSP): define de dónde pueden venir scripts, estilos e imágenes. Es la protección más eficaz contra cross-site scripting, pero también la más laboriosa. Pruébala primero como
Content-Security-Policy-Report-Only. - X-Frame-Options / frame-ancestors: impide que otras webs incrusten la tuya de forma invisible y cuelen clics (clickjacking).
- X-Content-Type-Options: nosniff: el navegador respeta el tipo de archivo indicado en lugar de adivinarlo.
- Referrer-Policy: cuánto de la dirección actual se pasa a otras webs.
- Permissions-Policy: qué funciones del navegador como cámara, micrófono o ubicación se pueden usar.
¿Cómo se calcula la nota?
Cada una de las seis cabeceras suma un punto si está configurada y no es claramente ineficaz. Seis puntos dan una A, cinco una B, etc. Para A+ además no debe haber avisos pendientes y la CSP debe restringir de verdad los scripts. Sin HTTPS o con un certificado no válido la nota es F. La nota es orientativa: una web sin inicio de sesión ni formularios necesita menos que un portal de clientes.
Consejos de implementación
Configura las cabeceras donde se genera la respuesta. Si delante hay un proxy inverso o una CDN, a menudo van allí. En nginx, add_header dentro de un bloque location sustituye todas las cabeceras del bloque server, y sin always faltan en las páginas de error. Con HSTS e includeSubDomains, todos los subdominios deben admitir HTTPS.
Comprueba el propio certificado en el comprobador SSL y qué CA pueden emitir en el generador CAA.
FAQ
¿Por qué la herramienta muestra cabeceras distintas a las de mi navegador?
Algunos servidores responden de forma distinta según el navegador, el idioma o el inicio de sesión. La comprobación es una solicitud anónima sin cookies. Las cabeceras que solo se envían tras iniciar sesión no aparecen aquí.
¿De verdad necesito una Content Security Policy?
En una web estática sin formularios el riesgo es bajo. En cuanto los usuarios inician sesión o introducen datos, una CSP es la mejor protección contra JavaScript inyectado. Empieza con Report-Only y actívala cuando ya no se notifiquen infracciones.
¿No es importante X-XSS-Protection?
Ya no. Todos los navegadores actuales han eliminado el filtro XSS, y en versiones antiguas incluso podía abrir fallos. Elimínala o ponla a 0.
¿La comprobación carga mi web?
No. Se hace una sola solicitud (más una por redirección y otra para http://) y el contenido se corta tras las cabeceras.
¿Puedo comprobar webs internas?
No, el servidor de hollop.net solo consulta direcciones públicas. Para webs internas usa el comando curl -sI del resultado en tu propia red.