Verificador de Cabeceras de Seguridad

Las cabeceras de seguridad HTTP son instrucciones que un servidor le da al navegador para reforzar la protección de quien visita el sitio: qué recursos puede cargar, si puede ser embebido en un iframe ajeno, si debe forzar siempre la conexión cifrada, entre otras. Esta herramienta analiza cualquier sitio web y muestra cuáles de estas cabeceras tiene configuradas y cuáles le faltan.

Cabeceras que se revisan

• Content-Security-Policy (CSP): limita desde qué orígenes puede cargar scripts, estilos e imágenes, la defensa más efectiva contra ataques de cross-site scripting (XSS).
• Strict-Transport-Security (HSTS): obliga al navegador a usar siempre HTTPS con ese dominio, incluso si alguien escribe la URL sin el 'https://'.
• X-Frame-Options: evita que el sitio sea embebido en un iframe de otro dominio, la defensa estándar contra ataques de clickjacking.
• X-Content-Type-Options: evita que el navegador intente adivinar el tipo de un archivo distinto al declarado, un vector usado para disfrazar contenido malicioso.

Para un analista de seguridad o un administrador de sistemas, esta es una de las primeras verificaciones de una auditoría de postura de seguridad externa: cabeceras ausentes no son, por sí solas, una vulnerabilidad explotable, pero reducen las capas de defensa disponibles frente a ataques del lado del cliente.