Cabeceras de seguridad web: una lista de 9 puntos que puedes corregir hoy

01Por qué importan las cabeceras

Las cabeceras de seguridad indican al navegador del visitante que rechace comportamientos arriesgados: cargar tu página dentro del marco de otro sitio, adivinar tipos de archivo, enviar tu dirección completa a otros sitios o ejecutar scripts de lugares desconocidos. No cuestan nada, no añaden peso a la página y bloquean clases enteras de ataques.

021. HTTPS con un certificado válido

Todo empieza aquí. Todo el sitio debe cargar por HTTPS con un certificado válido y no caducado. Los certificados gratuitos de Let's Encrypt o de tu CDN son suficientes.

032. HTTP redirige a HTTPS

Si alguien escribe la dirección http:// simple, el servidor debe responder con una redirección permanente a la versión https://.

043. HSTS: recordar que se usa HTTPS

La cabecera Strict-Transport-Security indica al navegador que use HTTPS para tu dominio durante mucho tiempo, aunque el visitante escriba http.

Strict-Transport-Security: max-age=31536000; includeSubDomains

054. Política de seguridad de contenido (CSP)

CSP enumera desde dónde pueden cargarse scripts, estilos e imágenes. Es la defensa más fuerte contra el cross-site scripting (XSS) y la cabecera más difícil de acertar.

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

065. Protección contra clickjacking

Impide que otros sitios incrusten tus páginas en un marco oculto. La forma moderna es frame-ancestors en tu CSP, y X-Frame-Options cubre los navegadores antiguos.

X-Frame-Options: DENY

076. X-Content-Type-Options

Indica al navegador que confíe en el tipo de archivo declarado y no lo adivine. Una línea, sin inconvenientes.

X-Content-Type-Options: nosniff

087. Referrer-Policy

Controla cuánto de la dirección de tu página se comparte cuando un visitante hace clic en un enlace a otro sitio.

Referrer-Policy: strict-origin-when-cross-origin

098. Sin filtraciones de tecnología

Cabeceras como Server: nginx/1.18.0 o X-Powered-By: PHP/7.4 dicen a los atacantes exactamente qué versiones buscar. Elimínalas u ocúltalas donde tu plataforma lo permita.

109. Cookies seguras

Las cookies que guardan una sesión iniciada deben llevar Secure (solo HTTPS), HttpOnly (no legibles por scripts) y SameSite (limita el envío entre sitios).

Set-Cookie: session=...; Secure; HttpOnly; SameSite=Lax

11Dónde configurarlas

En los recursos estáticos de Cloudflare Workers, coloca un archivo _headers simple junto a los archivos de tu sitio:

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains
  X-Content-Type-Options: nosniff
  X-Frame-Options: DENY
  Referrer-Policy: strict-origin-when-cross-origin

Otros alojamientos tienen su propio lugar para esto: add_header en nginx, Header set en Apache o el panel de tu hosting.

12Prueba tu sitio web

Introduce tu dirección y confirma que tienes permiso para comprobarla. Se envía una petición normal, como la de cualquier navegador, y no se guarda nada.