Inspector de encabezados de seguridad FREE
Revisa tus cabeceras de seguridad HTTP y obtén una calificación con recomendaciones claras y prácticas sobre qué corregir.
Qué demuestra un escaneo de cabeceras
Esto lee la respuesta, no tu configuración
La nota refleja las cabeceras que recibió esta única petición, en esta única URL, a través del proxy o CDN que haya delante. Otra ruta o otro camino pueden enviar cabeceras distintas. Los consejos sobre HSTS y CSP son deliberadamente prudentes: un max-age largo o una política estrecha pueden tumbar un sitio si se aplican sin revisar antes todo el árbol de nombres de host.
FAQ
¿Por qué una cabecera aparece como «Sin definir» y no como «Ausente»?
Las cabeceras críticas se informan como Ausentes y las recomendadas como Sin definir. La distinción importa porque el segundo grupo suele ser una decisión consciente y el primero casi nunca lo es.
¿Puedo copiar sin más una CSP estricta de otro sitio?
No. Una Content-Security-Policy que no encaje con cómo tu página carga scripts y estilos romperá la página en vez de protegerla. Empieza en modo report-only, lee las violaciones y solo después aplícala.
¿Por qué X-Frame-Options figura como cubierta si no está?
Porque la directiva frame-ancestors de CSP ya gobierna el enmarcado y los navegadores la respetan. Añadir encima la cabecera antigua no cambia nada, así que la fila se da por buena en vez de marcarse.
¿Una buena nota significa que el sitio es seguro?
No. Las cabeceras son una capa. No hacen nada por la autenticación, el control de acceso, las vulnerabilidades de las dependencias ni la lógica de la aplicación.
Fundamentos de ciberseguridad para webs de empresa y aplicaciones web
La mayoría de los incidentes no son ataques sofisticados. Son problemas antiguos, software desactualizado, contraseñas reutilizadas, paneles de administración expuestos, que nunca se abordaron. Estos son los fundamentos que previenen la mayor parte de los problemas.
Encabezados de seguridad HTTP: CSP, HSTS, Permissions-Policy y configuración completa
Los encabezados de seguridad HTTP permiten que el servidor defina reglas para la carga de scripts, el uso de frames, las funciones del dispositivo, la información de referencia, la interpretación de tipos MIME y el acceso mediante HTTPS. Una configuración adecuada reduce el impacto de varias clases de ataques, entre ellas XSS, clickjacking, confusión MIME, XS-Leaks e incrustación cross-origin no autorizada.
Fortify vs Checkmarx One vs Veracode vs Snyk vs GitHub Code Security vs Semgrep: qué plataforma AppSec enterprise elegir en 2026
Una empresa suele pedir “un escáner de seguridad”, pero el problema real tiene varias capas:
¿Necesitas ayuda para mejorar tu seguridad?
Podemos ayudarte a implementar las mejores prácticas de seguridad y a proteger tus aplicaciones web.