En este artículo
¿Qué son los encabezados de seguridad HTTP?
Los encabezados de seguridad HTTP son cabeceras de respuesta que instruyen a los navegadores cómo manejar el contenido de tu sitio. Forman una capa crítica de defensa contra ataques como XSS, clickjacking y ataques de degradación de protocolo.
Son parte de la respuesta HTTP del servidor. No cuestan nada de implementar, no requieren cambios de código y protegen a todos los visitantes. OWASP recomienda implementarlos en cada sitio de producción.
Cómo funcionan los encabezados de seguridad HTTP
Cada encabezado controla un aspecto específico del comportamiento del navegador, creando múltiples capas de protección.
- Content-Security-Policy (CSP) — define fuentes confiables para scripts, estilos e imágenes, previniendo XSS
- Strict-Transport-Security (HSTS) — fuerza HTTPS en todas las solicitudes futuras, previniendo ataques de degradación
- X-Frame-Options y X-Content-Type-Options — previenen clickjacking y MIME-sniffing
Pruébalo gratis — sin registro
Genera encabezados de seguridad →Cuándo configurar encabezados de seguridad
Los encabezados de seguridad deben configurarse en cada sitio de producción.
- Prevención de ataques XSS — CSP es la defensa más efectiva a nivel de navegador
- Aplicación de HTTPS — HSTS con preload garantiza conexión HTTPS incluso en la primera visita
- Requisitos de cumplimiento — PCI DSS, SOC 2 e HIPAA requieren encabezados de seguridad
Preguntas frecuentes
¿Qué es el modo report-only de CSP?
Content-Security-Policy-Report-Only envía informes de violación sin bloquear recursos. Permite probar una nueva política CSP en producción sin romper tu sitio.
¿Cómo funciona HSTS preload?
HSTS preload es una lista de proveedores de navegadores que fuerza acceso HTTPS para dominios listados. Requisitos: cabecera HSTS con max-age mínimo de un año, includeSubDomains y directiva preload.
¿Cómo puedo probar mis encabezados de seguridad?
Usa herramientas como securityheaders.com o Mozilla Observatory. También puedes inspeccionar cabeceras en DevTools del navegador en la pestaña Red.