Analizador de cabeceras de seguridad HTTP

Pegue un bloque de cabeceras HTTP sin procesar (por ejemplo, copiadas de la pestaña Red de su navegador) para comprobar la presencia de las principales cabeceras de seguridad y entender la función de cada una. El análisis se realiza íntegramente en su navegador.

Ejemplo:
Una línea «Nombre-Cabecera: valor» por cabecera (como en la pestaña Red de las herramientas de desarrollo).

Cómo funciona

Muchos ataques web (clickjacking, XSS, degradación a HTTP) pueden mitigarse en gran medida con unas pocas cabeceras de respuesta HTTP bien configuradas. Pegue el bloque de cabeceras que devuelve su servidor (visible en la pestaña Red de las herramientas de desarrollo de cualquier navegador, en la solicitud del documento principal) para comprobar cuáles están presentes, cuáles faltan y qué protege concretamente cada una.

¿Dónde encuentro las cabeceras HTTP de mi sitio?

Abra las herramientas de desarrollo de su navegador (F12), vaya a la pestaña «Red», recargue la página, haga clic en la solicitud del documento HTML principal y copie la sección «Response Headers» (cabeceras de respuesta). Pegue ese texto tal cual en el campo de arriba.

¿Hay que activar todas estas cabeceras en todos los sitios?

La mayoría de los sitios públicos se benefician de activar Strict-Transport-Security, X-Content-Type-Options y una Content-Security-Policy adecuada. Referrer-Policy y Permissions-Policy dependen más del contexto (datos sensibles en la URL, necesidad de acceso a la cámara o al micrófono). X-XSS-Protection está obsoleta y su ausencia es normal en un sitio moderno bien configurado.

Privacidad: el análisis se realiza íntegramente en su navegador; las cabeceras pegadas nunca se envían a un servidor.