Encabezados de seguridad: CSP, HSTS y otros
Los encabezados de seguridad son unas pocas líneas que el servidor agrega a cada respuesta. El visitante no los ve, pero el navegador entiende qué se puede hacer y qué no en tu sitio. Se configuran en el servidor y, por lo general, no requieren cambiar el código del sitio.
Analogía para el dueño del sitio
Es una instrucción para el guardia de la entrada. Sin ella, deja pasar todo: cualquier script de cualquier dominio, la inserción de tu página en el sitio de otra persona, los intentos de adivinar el tipo de archivo. Con la instrucción aparece una lista: estos pueden entrar, estos no, esta puerta debe permanecer cerrada. Los encabezados no corrigen los huecos en el código, pero evitan que se aprovechen.
Qué hace cada encabezado
| Encabezado | Qué aporta | Severidad |
|---|---|---|
| Strict-Transport-Security | El navegador accede a tu sitio solo por HTTPS y no vuelve a una conexión abierta | Media |
| Content-Security-Policy | Define desde dónde se pueden cargar los scripts. Es la principal protección contra XSS | Media |
| X-Frame-Options | Evita que tus páginas se inserten en un frame en el sitio de otra persona (clickjacking) | Baja |
| X-Content-Type-Options | Evita que se adivine el tipo de archivo: de lo contrario, un archivo subido podría ejecutarse como script | Baja |
| Referrer-Policy | Limita qué dirección se envía a sitios externos al navegar hacia ellos | Info |
| Permissions-Policy | Desactiva funciones innecesarias del navegador: cámara, micrófono, geolocalización | Info |
Además, se revisan las banderas de las cookies: Secure, HttpOnly y SameSite. Evitan el secuestro de sesiones.
Cómo se relaciona con el negocio y el SEO
Los encabezados por sí solos no mejoran el posicionamiento: no son un factor de ranking. Actúan en otro frente: HSTS elimina el riesgo de una conexión abierta, y CSP impide que scripts externos agreguen enlaces ocultos y redirecciones a las páginas. Estas inyecciones provocan una caída en el posicionamiento y la advertencia «este sitio puede dañar tu computadora» en el navegador.
Cómo se ve en el informe de Security Shield
La revisión de encabezados se realiza en cualquier modo, incluido el rápido y gratuito. Cada encabezado ausente se convierte en un hallazgo independiente con su severidad, su clase CWE y su categoría OWASP; con ellos se forma una puntuación de A+ a F. La ausencia de CSP y HSTS pesa más que la de Referrer-Policy. Para este grupo funciona la corrección automática: el servicio genera un fragmento de configuración listo para usar, ya sea .htaccess o un bloque para nginx.
Cómo empezar
- Agrega
X-Content-Type-Options: nosniffyReferrer-Policy: strict-origin-when-cross-origin: casi nunca rompen nada. - Bloquea la inserción en frames:
X-Frame-Options: SAMEORIGIN, pero verifica que no estés insertando tus páginas en otros dominios. - Asegúrate de que todo el HTTP redirija a HTTPS y solo después activa HSTS.
- Deja CSP para el final y empieza con el modo de reporte
Content-Security-Policy-Report-Only.
En modo Report-Only, la política no bloquea nada, solo informa qué bloquearía. Déjala funcionar una semana con tráfico real, analiza los reportes, agrega los dominios necesarios y solo entonces cambia al encabezado definitivo. De lo contrario, corres el riesgo de desactivar widgets, analítica y pagos.
Cómo evitar que vuelva a ocurrir
Los encabezados viven en la configuración del servidor, y esta se puede perder en una migración, un cambio de hosting o al integrar una CDN. Guarda un fragmento de configuración en el repositorio junto con el proyecto y repite el escaneo después de cambios en la infraestructura. El funcionamiento del servicio se describe en el artículo sobre Security Shield. Para el acceso al panel: seguridad de la cuenta.