Saltar al contenido
ipaddress.co.il

Verificación de encabezados de seguridad

Obtenemos los encabezados de respuesta de una URL pública (sin el contenido) y verificamos uno a uno los encabezados de protección.

Ejemplos:

Algunas de las protecciones más eficaces de la web son simples encabezados de respuesta HTTP, configuradas una vez en el servidor. La verificación obtiene los encabezados de respuesta de una URL pública, sigue las redirecciones hasta la página final y las evalúa una a una:

  • Strict-Transport-Security hace que los navegadores usen solo HTTPS.
  • Content-Security-Policy limita desde dónde pueden cargarse scripts y otros recursos y, con frame-ancestors, quién puede incrustar la página.
  • X-Content-Type-Options: nosniff impide que los navegadores adivinen tipos de archivo.
  • Referrer-Policy controla cuánto de la URL se pasa a otros sitios.
  • Permissions-Policy desactiva funciones del navegador que el sitio no usa.
  • Cross-Origin-Opener-Policy aísla la página de las ventanas que abre.

También se señalan las versiones de software expuestas en Server o X-Powered-By. El resultado es una lista de verificación, no una nota de seguridad: los encabezados son una capa de protección entre muchas.

Preguntas frecuentes

¿Por qué un HSTS de menos de seis meses se considera débil?

Los navegadores solo recuerdan la obligación de HTTPS durante max-age segundos. De seis meses a un año es la recomendación habitual y un requisito de las listas de precarga de los navegadores.

¿Sigue haciendo falta X-Frame-Options?

La directiva CSP frame-ancestors lo sustituye en los navegadores modernos. Aquí cualquiera de las dos cuenta como protección frente a la incrustación.

¿Envía la herramienta algo distinto de una solicitud normal?

No. Envía una solicitud GET corriente por cada paso de redirección, lee solo los encabezados y cierra la conexión.

Relacionado