Cómo usar: Comprobador de cabeceras de seguridad
- Introduce la URL de la web y haz clic en Analizar cabeceras. Seguimos las redirecciones y analizamos la respuesta final.
- Lee la nota y la tabla por cabecera: cada cabecera fallida explica el riesgo y el valor recomendado.
- Elige tu plataforma (Nginx, Apache, Netlify, Vercel o Cloudflare) y copia el fragmento generado para las cabeceras que faltan.
- Despliega y vuelve a analizar. Prueba primero una Content-Security-Policy estricta en modo
Report-Onlypara no romper scripts.
¿Qué son las cabeceras de seguridad HTTP?
Las cabeceras de seguridad son cabeceras de respuesta HTTP que indican al navegador que active protecciones integradas: usar siempre HTTPS, negarse a mostrar la página dentro de un marco hostil, ejecutar scripts solo de fuentes de confianza, no adivinar tipos de archivo y limitar la información que se filtra en la cabecera Referer. No cuestan nada para añadirlas, en la mayoría de casos no requieren cambios de código y cierran clases enteras de ataques, como el clickjacking, las degradaciones de protocolo y muchas cargas de cross-site scripting (XSS).
Cómo se calcula la nota
Cada una de las seis cabeceras aporta puntos. La puntuación total (0–100) se traduce en una nota: A+ desde 90, A desde 75, B desde 60, C desde 45, D desde 30, E desde 15, y F en el resto de casos. Las webs que no se sirven por HTTPS tienen un límite de 20 puntos.
| Cabecera | Puntos | Protege contra | Valor recomendado |
|---|---|---|---|
| Strict-Transport-Security | 25 | Degradación a HTTP, SSL stripping, robo de cookies en Wi-Fi públicas | max-age=31536000; includeSubDomains (al menos 180 días para aprobar) |
| Content-Security-Policy | 25 | XSS, inyección de datos, scripts de terceros no deseados | Una política adaptada a tu web, por ejemplo partiendo de default-src 'self' |
| X-Content-Type-Options | 15 | Detección MIME que convierte archivos subidos en scripts ejecutables | nosniff |
| X-Frame-Options | 15 | Clickjacking mediante iframes ocultos | SAMEORIGIN, o CSP frame-ancestors 'self' |
| Referrer-Policy | 10 | Filtrar URLs completas (con tokens o términos de búsqueda) a otros sitios | strict-origin-when-cross-origin |
| Permissions-Policy | 10 | Contenido embebido que abusa de cámara, micrófono o geolocalización | camera=(), microphone=(), geolocation=() |
También marcamos las cabeceras que filtran información, como Server: Apache/2.4.41 o X-Powered-By: PHP/8.1. Los números de versión exactos ayudan a los atacantes a encontrar vulnerabilidades conocidas; elimínalos o acórtalos.
Añadir cabeceras en plataformas populares
Tras un análisis, la herramienta genera fragmentos con solo las cabeceras que te faltan: add_header … always; para Nginx, Header always set para Apache (.htaccess o vhost), un archivo _headers para Netlify y Cloudflare Pages, el array headers de vercel.json, y un Worker de Cloudflare o una Transform Rule para webs detrás de Cloudflare.
Webflow, Squarespace, Wix y constructores web alojados similares normalmente no permiten definir cabeceras de respuesta personalizadas en los planes estándar. La solución habitual es poner un proxy inverso delante de la web: por ejemplo, enrutar el dominio a través de Cloudflare y añadir las cabeceras con una Transform Rule o un Worker.
Implanta CSP y HSTS con cuidado
Una Content-Security-Policy estricta puede bloquear analítica, widgets de chat o scripts inline. Despliégala primero como Content-Security-Policy-Report-Only, vigila la consola del navegador por si hay infracciones y ajústala antes de activarla. Los navegadores guardan HSTS en caché durante todo el max-age, así que empieza con un valor corto (por ejemplo, un día) si algún subdominio aún podría necesitar HTTP plano. Para el resto de la respuesta, revisa cada cabecera con el Comprobador de cabeceras HTTP y verifica los certificados con el Comprobador SSL.
También se busca como: comprobador cabeceras seguridad, security headers, hsts checker, comprobar csp, cabeceras http seguridad, x-frame-options, content security policy, escáner de cabeceras.
Herramientas que combinan con: Comprobador de cabeceras de seguridad
- Generador y Probador CORS — ¿Te aparece “has been blocked by CORS policy”?
- Comprobador de redirecciones — Sigue una URL salto a salto para ver cada redirección, su código de estado y su tiempo de respuesta, y comprueba que las versiones http, https, www y sin www de tu dominio acaben todas en una única dirección canónica.
- Verificador SEO y auditoría del sitio web — Pega una URL para realizar hasta 70 comprobaciones de SEO on-page, además de una auditoría completa del sitio web: velocidad de Lighthouse, encabezados de seguridad y SSL, datos estructurados, enlaces rotos, robots.txt y rastreadores de IA, aspectos básicos de accesibilidad, seguimiento y consentimiento, SPF/DKIM/DMARC y caducidad del dominio — todo ello resumido en una puntuación global del sitio web con soluciones priorizadas.
- Test de velocidad de página — Ejecuta Google Lighthouse en cualquier URL para móvil o escritorio.
Preguntas frecuentes
¿Las cabeceras de seguridad afectan al SEO?
¿Sigue siendo necesario X-XSS-Protection?
X-XSS-Protection: 0.¿Cómo añado cabeceras de seguridad a una web de Webflow?
¿Una Content-Security-Policy puede romper mi web?
Content-Security-Policy-Report-Only, corrige las infracciones que se reporten y después cambia a la cabecera que aplica la política.