Comprobador de cabeceras de seguridad
Ocho cabeceras que tu web envía o no envía. A diferencia de casi todas las herramientas de este tipo, esta no te va a penalizar por una cabecera que dejó de importar en 2019, ni por saltarte una antigua cuando envías la moderna que la sustituyó.
Qué comprueba
- Las cabeceras que hacen trabajo de verdad: HSTS, que mantiene a los navegadores en HTTPS, y Content-Security-Policy, que limita qué puede cargar y ejecutar una página.
- Si los valores significan algo en vez de solo estar: un HSTS de duración corta, o una política que permite scripts en línea y por tanto permite casi todo.
- Las cabeceras sustituidas, mostradas como sustituidas. Si tu política usa frame-ancestors, no se te regaña por saltarte X-Frame-Options.
- Las cabeceras que los navegadores modernos ignoran, marcadas como obsoletas, para que nadie pague por añadir una.
Lo que esto no puede decirte
- Las cabeceras son una capa. Una web con las ocho puede entrarse igual por su software, sus contraseñas o sus plugins, y una web a la que le faltan varias puede estar perfectamente bien.
- Esto lee una página. Una web puede enviar cabeceras distintas en rutas distintas, y una zona de administración suele enviar unas más estrictas que la portada.
- No buscamos vulnerabilidades, no sondeamos tu servidor ni intentamos nada. Esto lee las cabeceras que llegaron con una petición normal de página, y nada más.
Preguntas que nos hacen
¿Mi web es insegura si falta una cabecera?
No. Estas cabeceras reducen el daño que pueden hacer ciertos ataques; no son lo que separa tu web de que entren en ella. Que falte una merece la pena arreglarlo cuando es barato, y no es una urgencia. Cualquier herramienta que te dé un suspenso rojo por una cabecera que falta te está vendiendo prisa.
¿Cuál añado primero?
HSTS, si tu web está en HTTPS y piensas mantenerla ahí. Es una línea, se entiende bien y cierra un hueco real: la primera petición que hace un visitante antes de que ocurra ninguna redirección. Content-Security-Policy hace más, pero cuesta trabajo de verdad hacerla sin romper tus propias páginas.
¿Por qué no hay nota sobre cien?
Porque sería inventada. Una nota da a entender que una suma ponderada de ocho cabeceras describe si una web es segura, y no lo hace. Peor aún, manda a la gente a perseguir un sobresaliente en una web donde varias de estas ni se aplican. Aquí tienes la lista, qué hace cada una y qué huecos merece la pena cerrar.