Cuando alguien abre su sitio, el servidor envía junto con la página unas cabeceras HTTP: instrucciones invisibles para el navegador. Algunas sirven para decirle que active protecciones que reducen ataques comunes.
Las principales
- Strict-Transport-Security (HSTS): obliga al navegador a usar siempre HTTPS con su sitio.
- Content-Security-Policy (CSP): define desde dónde se permite cargar scripts, imágenes y estilos. Limita el daño de código inyectado (XSS).
- X-Frame-Options (o la directiva frame-ancestors de CSP): impide que otro sitio muestre el suyo dentro de un marco, evitando el «clickjacking».
- X-Content-Type-Options: nosniff: evita que el navegador «adivine» el tipo de un archivo y ejecute algo que no debía.
- Referrer-Policy: controla cuánta información de la dirección se comparte al ir a otro sitio.
- Permissions-Policy: desactiva funciones que no usa, como cámara, micrófono o ubicación.
Cómo activarlas
- En un hosting con Apache suelen añadirse en el archivo .htaccess con la directiva Header set. En otros servidores, en su configuración.
- Empiece por las más simples (nosniff, X-Frame-Options, Referrer-Policy).
- Active HSTS cuando esté seguro de que todo su sitio y subdominios funcionan con HTTPS.
- Introduzca CSP con cuidado: una política demasiado estricta puede romper funciones. Pruébela primero en modo de solo reporte.
Cómo comprobarlas
Use una herramienta gratuita de análisis de cabeceras (por ejemplo, la de Mozilla Observatory o securityheaders.com): escriba su dirección y le mostrará qué falta.
Advertencia
Haga una copia del archivo antes de editarlo y verifique el sitio después. Un error en la configuración puede dejarlo fuera de línea.
¿Prefiere que lo configuremos nosotros? Contáctenos.
