Analizador de Encabezados de Seguridad - Califique sus Encabezados HTTP de Seguridad (A+ a F)
Analizador de Encabezados de Seguridad
Compruebe los encabezados de seguridad que envía su sitio y obtenga una nota con consejos
Una Nota y sus Razones
Obtenga una puntuación sobre 100 y una nota con letra, con cada encabezado explicado en lenguaje claro y marcado como correcto, aviso o ausente.
CSP Comprobada en Detalle
La Content-Security-Policy se analiza para detectar unsafe-inline, unsafe-eval, fuentes de script comodín y directivas ausentes.
URL o Encabezados Pegados
Obtenga los encabezados de un sitio público, o pegue encabezados de curl, su servidor o un proxy para probar un sitio que aún no es público.
Consultas Seguras
Las consultas de direcciones las hace el servidor de este sitio con protecciones que bloquean direcciones privadas e internas.
Por Qué Importan Estos Encabezados
Los encabezados de seguridad son instrucciones que su servidor envía a los navegadores para activar protecciones integradas. HSTS obliga a usar HTTPS, una Content-Security-Policy limita desde dónde pueden cargarse scripts y bloquea muchos ataques de inyección, X-Content-Type-Options evita que los navegadores adivinen tipos de archivo, y frame-ancestors o X-Frame-Options impiden que otros sitios enmarquen sus páginas. Referrer-Policy y Permissions-Policy limitan lo que se filtra a otros sitios y qué funciones potentes puede usar una página.
La nota es una guía, no una auditoría. Puntúa qué encabezados están presentes y cuán fuertes parecen, en el espíritu de conocidos escáneres en línea, pero una nota perfecta no significa que un sitio sea seguro, y un sitio con nota más baja puede estar bien para su propósito. La herramienta solo ve lo que su servidor envía a esta comprobación, que usa una petición HEAD, así que los encabezados que aparecen solo en otras páginas o métodos, o varias líneas Set-Cookie, pueden no verse. Pegue encabezados reales para una imagen más completa.
Puntos Clave
- Sugerencias: Los encabezados ausentes incluyen un valor de partida que puede copiar.
- Consciente de HTTPS: HSTS solo se puntúa cuando la página se obtuvo por HTTPS.
- Herramientas relacionadas: Vea también el Generador de Cabeceras CSP y el Visor de Cabeceras HTTP.