Revisión de encabezados de seguridad
La revisión de encabezados de seguridad muestra qué mecanismos de protección están activados en el sitio y cuáles no. Es la forma más económica de fortalecer la seguridad: casi todo se configura en el servidor y no requiere cambios en el código. La herramienta es auditoría de encabezados de seguridad.
Qué se revisa
| Encabezado | Protege contra | Importancia |
|---|---|---|
| Strict-Transport-Security | Fuerza el uso de https: protege contra el secuestro de la conexión | Media |
| Content-Security-Policy | Limita desde dónde se cargan los scripts: la principal protección contra la inyección de código | Media |
| X-Frame-Options | Impide incrustar el sitio en otro frame (clickjacking) | Baja |
| X-Content-Type-Options | Impide que el navegador adivine el tipo de archivo | Baja |
| Referrer-Policy | Limita qué datos se envían a analíticas externas al navegar a otra página | Informativa |
| Permissions-Policy | Desactiva funciones innecesarias: cámara, micrófono, geolocalización | Informativa |
Por dónde empezar
- HSTS: si el sitio ya funciona completamente con https, se puede activar con una sola línea.
- Protección contra clickjacking y adivinación de tipos: también una sola línea, sin efectos secundarios.
- Content-Security-Policy: el más útil y el más delicado. Empieza en modo de reporte, de lo contrario corres el riesgo de romper tus propios scripts.
- Otros: opcionales. Estos encabezados no rompen nada y aportan orden.
Qué no hacen los encabezados
No protegen contra ataques que aprovechan vulnerabilidades en el código, no curan un sitio infectado y no sustituyen las actualizaciones del CMS. Su tarea es reducir las posibilidades de ataque en el navegador del visitante y limitar el daño si algo sale mal. Una revisión completa es un escáner aparte: consulta análisis de malware y backdoors.
Relación con otras revisiones
Estos mismos encabezados se incluyen en el informe de Shield y, en parte, en SEO Audit. El análisis teórico de cada uno está en el glosario: encabezados de seguridad. Para ver los encabezados de respuesta sin procesar: revisión de encabezados.
