GmorkHerramienta gratuita
Introduzca un sitio web para ver cuáles de los seis encabezados de seguridad HTTP recomendados envía su página principal, qué valores son débiles y si revela versiones de software. Gratuito, sin registro.
Cada uno es una sola línea de configuración del servidor. Aquí se explica para qué sirve y un valor inicial recomendable.
Indica a los navegadores que siempre usen https para su sitio, de modo que la conexión no pueda degradarse silenciosamente a http en una red no confiable.
Strict-Transport-Security: max-age=31536000; includeSubDomainsSeis meses (15552000 segundos) es el mínimo que Gmork considera fuerte. Solo agregue includeSubDomains si cada subdominio tiene https.
Enumera de dónde pueden cargarse scripts, estilos, imágenes y marcos. Esto reduce el riesgo de scripts inyectados, como los que roban tarjetas, que apuntan al dominio de un atacante.
Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'Comience con Content-Security-Policy-Report-Only para ver qué se rompería y luego aplique la política. Report-only por sí solo no bloquea nada.
Evita que otros sitios muestren sus páginas en un marco para engañar a los visitantes y que hagan clic (clickjacking). Una regla frame-ancestors en CSP cumple la misma función y se considera aquí.
X-Frame-Options: DENYUse SAMEORIGIN si su propio sitio muestra sus páginas en marcos.
Evita que el navegador adivine el tipo de archivo, por lo que un archivo subido no puede ejecutarse como script.
X-Content-Type-Options: nosniffnosniff es el único valor válido.
Controla cuánta información de la dirección de su página se envía a otros sitios cuando los visitantes hacen clic en un enlace o la página carga recursos externos.
Referrer-Policy: strict-origin-when-cross-originEvite unsafe-url, que envía direcciones completas, incluidas las cadenas de consulta, a cada sitio.
Desactiva funciones del navegador que su sitio no utiliza, como cámara, micrófono o ubicación, para que el código inyectado o los elementos incrustados no puedan solicitarlas.
Permissions-Policy: camera=(), microphone=(), geolocation=()No incluya ninguna función que el sitio realmente utilice, o permítala solo para su propio origen con (self).
El verificador también detecta una cabecera X-Powered-By, o una cabecera Server con un número de versión como nginx/1.18.0. Por sí solas no son vulnerabilidades, pero facilitan identificar software desactualizado. Nunca cuentan entre las seis.
La mayoría de los servidores y frameworks pueden eliminarlas, por ejemplo server_tokens off en nginx.
¿Quiere la versión extendida? Lea Explicación de los encabezados de seguridad.
Strict-Transport-Security (HSTS), Content-Security-Policy, X-Frame-Options (o la regla frame-ancestors de CSP), X-Content-Type-Options, Referrer-Policy y Permissions-Policy. También detecta cuando la cabecera Server o X-Powered-By revela versiones de software.
No. Los encabezados de seguridad refuerzan la protección: dificultan algunos ataques o limitan los daños. La ausencia de un encabezado es un consejo para mejorar, no una prueba de compromiso.
La página principal que usted introduce, después de seguir las redirecciones. Los encabezados pueden variar entre páginas, así que verifique por separado las páginas importantes si son servidas por un sistema diferente.
Sí, sin necesidad de cuenta. Tiene un límite de uso para que todos puedan utilizarlo, y cada sitio añadido a Gmork recibe la misma comprobación de encabezados en cada ejecución.
¿Le preocupa algo más que los encabezados? Pruebe la verificación gratuita de sitios web hackeados.