Squish & Co. — depto. de diagnóstico
Comprobador de cabeceras de seguridad
Comprueba las seis cabeceras HTTP de seguridad que importan y obtén una nota según si cada una está haciendo su trabajo de verdad, no solo si se ha enviado. Una herramienta de cortesía de Squish, sin registro.
Prueba , , Sin registro
Los resultados aparecen aquí. Escribe un dominio para empezar.
Qué hacen realmente las cabeceras de seguridad
Las cabeceras de seguridad son instrucciones que tu servidor envía junto a cada página para decirle al navegador qué permitir. HSTS rechaza el HTTP sin cifrar. Content-Security-Policy limita desde dónde pueden cargarse los scripts. X-Frame-Options impide que tu página se cargue dentro del marco invisible de otra persona. No cuestan nada de configurar y cierran categorías enteras de ataque, pero solo cuando el valor lleva una restricción real, y por eso aquí se califica lo que hace cada cabecera y no si se ha enviado.
Preguntas frecuentes
¿Qué cabeceras comprobáis?
Seis, ponderadas según lo que importan: HSTS y Content-Security-Policy con 25 puntos cada una, X-Frame-Options y X-Content-Type-Options con 15, y Referrer-Policy y Permissions-Policy con 10. Son 100 puntos, y la nota sigue a la puntuación.
¿Por qué he perdido puntos en una cabecera que sí tengo?
Porque una cabecera presente no siempre es una cabecera que funcione. content-security-policy: default-src * permite script desde cualquier host de internet, y x-frame-options: ALLOWALL es un valor que ningún navegador respeta desde hace años. Ambas se califican por lo que hacen, así que ambas reciben media puntuación en vez de la completa.
No tengo X-Frame-Options y aun así he aprobado, ¿por qué?
Tu Content Security Policy lleva frame-ancestors, que hace el mismo trabajo y la sustituye en todos los navegadores que implementan ambas. Poner también la cabecera antigua no hace daño, pero su ausencia no es una carencia.
¿Esto me dice si mi sitio es seguro?
No. Lee las cabeceras de una respuesta y califica eso. No busca malware, no prueba tu inicio de sesión ni mira tu código. Una buena nota aquí significa que tus cabeceras están bien puestas, nada más, y preferimos decirlo a insinuar un certificado de salud que no hemos medido.
Las cabeceras son cosa del servidor, no de la web. Se configuran una vez en el servidor, que es justo la capa que el alojamiento gestionado existe para quitarte de encima.
Ver el alojamiento de Squish →