¿Qué son las cabeceras de seguridad HTTP?

Respuesta breve

Las cabeceras de seguridad HTTP son instrucciones de respuesta que ayudan a los navegadores a aplicar valores predeterminados más seguros al cargar un sitio.

Paso a paso

1. Introduce una URL pública en el Comprobador de cabeceras.
2. Revisa en contexto HSTS, tipo de contenido, referente, permisos y señales CSP.
3. Comprueba que la política coincida con los recursos que el sitio realmente necesita.
4. Prueba los cambios en un entorno de pruebas antes de aplicarlos ampliamente.

Detalles técnicos

• CSP puede reducir el riesgo de inyección de scripts; HSTS exige un despliegue cuidadoso; X-Content-Type-Options impide la detección inferida del tipo MIME en navegadores compatibles.

Errores frecuentes

• Copiar una CSP restrictiva sin probarla.
• Considerar las cabeceras un sustituto de la validación de entradas.
• Usar cabeceras de seguridad para ocultar una aplicación defectuosa.

Limitaciones

• La comprobación observa la respuesta; no demuestra que toda la aplicación sea segura.