Encabezados de seguridad HTTP
Las victorias de seguridad más fáciles disponibles - encabezados de servidor que protegen contra XSS, clickjacking, MIME sniffing y SSL stripping. La mayoría toma menos de una hora en configurarse.
Ludwig Makhyan · Fundador, WebsiteCoach
Ir a la sección
Resumen Ejecutivo
Los encabezados de seguridad HTTP son directivas a nivel de servidor que indican a los navegadores cómo manejar tu contenido de forma segura. Se encuentran entre las mejoras de seguridad de mayor impacto y menor esfuerzo disponibles - típicamente no requieren cambios de código, solo configuración de servidor o CDN. La ausencia de estos encabezados se cita constantemente en el Top 10 de riesgos de seguridad de aplicaciones web de OWASP.
Impacto Empresarial
Un ataque XSS exitoso (prevenible con CSP) puede resultar en el secuestro de sesiones, robo de credenciales y violaciones de datos de clientes. Bajo GDPR, una violación de datos puede implicar multas de hasta el 4% de los ingresos anuales globales. La falta de HSTS deja tu sitio vulnerable al SSL stripping - un ataque de intermediario que intercepta datos en conexiones no cifradas.
Fuente: Análisis de encabezados de respuesta HTTP realizado en cada auditoría de WebsiteCoach.
Encabezados de Seguridad Explicados
Este encabezado se revisa por presencia y calidad de configuración, porque valores débiles dejan incompleta la protección del navegador.
- Content-Security-Policy (CSP)
- Strict-Transport-Security (HSTS)
- X-Content-Type-Options
- X-Frame-Options
- Referrer-Policy
- Permissions-Policy
- Cross-Origin-Resource-Policy (CORP)
- Cross-Origin-Opener-Policy (COOP)
- Cross-Origin-Embedder-Policy (COEP)
Plan de Acción por Rol
- →Aprobar la implementación de encabezados de seguridad como parte de la postura de cumplimiento
- →Entender que la falta de CSP y HSTS son hallazgos comunes en auditorías de seguridad y pentesting
- →Incluir el cumplimiento de encabezados de seguridad en las evaluaciones a proveedores
- →Configurar todos los encabezados de seguridad a nivel de proxy inverso o CDN (nginx, Cloudflare, Vercel)
- →Habilitar la precarga HSTS a través de hstspreload.org tras confirmar cobertura total de HTTPS
- →Agregar el conjunto de reglas administradas de encabezados de seguridad si usas Cloudflare
- →Redactar una política CSP empezando en modo de solo reporte para evitar cambios disruptivos
- →Usar Mozilla Observatory o WebsiteCoach para calificar la integridad de los encabezados
- →Configurar un endpoint de reporte de violaciones CSP para monitorear recursos bloqueados
- →Revisar y ajustar la Permissions-Policy para permitir solo las APIs de navegador requeridas
- →Eliminar todos los bloques inline <script> y <style> - reemplazarlos con archivos externos (necesario para CSP estricto)
- →Auditar todos los scripts de terceros y agregar sus dominios a la lista permitida de CSP
- →Probar después de implementar CSP usando la consola del navegador para detectar errores
Preguntas frecuentes
¿Qué es Encabezados de seguridad HTTP?
Las victorias de seguridad más fáciles disponibles - encabezados de servidor que protegen contra XSS, clickjacking, MIME sniffing y SSL stripping. La mayoría toma menos de una hora en configurarse.
¿Por qué importa Encabezados de seguridad HTTP?
Un ataque XSS exitoso (prevenible con CSP) puede resultar en el secuestro de sesiones, robo de credenciales y violaciones de datos de clientes. Bajo GDPR, una violación de datos puede implicar multas de hasta el 4% de los ingresos anuales globales. La falta de HSTS deja tu sitio vulnerable al SSL stripping - un ataque de intermediario que intercepta datos en conexiones no cifradas.
Referencias oficiales
Temas relacionados
Comprueba tu puntuación de seguridad ahora
Auditoría gratuita en 60 segundos - sin cuenta requerida.
Auditoría gratuita