Saltar al contenido
ipaddress.fi

Comprobación de cabeceras de seguridad

Obtenemos las cabeceras de respuesta de una URL pública (sin el contenido) y comprobamos una a una las cabeceras protectoras.

Ejemplos:

Algunas de las protecciones más eficaces de la web son simples cabeceras de respuesta HTTP, configuradas una vez en el servidor. La comprobación obtiene las cabeceras de respuesta de una URL pública, sigue las redirecciones hasta la página final y las evalúa una a una:

  • Strict-Transport-Security hace que los navegadores usen solo HTTPS.
  • Content-Security-Policy limita desde dónde pueden cargarse scripts y otros recursos y, con frame-ancestors, quién puede incrustar la página.
  • X-Content-Type-Options: nosniff impide que los navegadores adivinen tipos de archivo.
  • Referrer-Policy controla cuánto de la URL se pasa a otros sitios.
  • Permissions-Policy desactiva funciones del navegador que el sitio no usa.
  • Cross-Origin-Opener-Policy aísla la página de las ventanas que abre.

También se señalan las versiones de software expuestas en Server o X-Powered-By. El resultado es una lista de comprobación, no una nota de seguridad: las cabeceras son una capa de protección entre muchas.

Preguntas frecuentes

¿Por qué un HSTS de menos de seis meses se considera débil?

Los navegadores solo recuerdan la obligación de HTTPS durante max-age segundos. De seis meses a un año es la recomendación habitual y un requisito de las listas de precarga de los navegadores.

¿Sigue haciendo falta X-Frame-Options?

La directiva CSP frame-ancestors lo sustituye en los navegadores modernos. Aquí cualquiera de las dos cuenta como protección frente a la incrustación.

¿Envía la herramienta algo distinto de una solicitud normal?

No. Envía una solicitud GET corriente por cada paso de redirección, lee solo las cabeceras y cierra la conexión.

Relacionado