Verificador de Cabeceras HTTP con Nota de Seguridad

¿Por qué analizar tus cabeceras HTTP de seguridad?

Las cabeceras HTTP de seguridad forman la primera línea de defensa de tu sitio web del lado del navegador. Sin CSP, sin HSTS, sin X-Frame-Options, dejas a los atacantes ángulos de ataque que los estándares modernos saben cerrar. Un test de seguridad de sitio web regular permite detectar estos olvidos antes de que se conviertan en incidente.

Nuestro analizador recupera las cabeceras HTTP devueltas por tu servidor, las confronta con las recomendaciones OWASP y Mozilla, y luego calcula una puntuación ponderada con una nota de A a F. En 30 segundos obtienes una vista clara de las brechas a corregir.

Tres casos de uso principales:

• Auditoría de puesta en producción: validar la configuración de los security headers antes de la apertura pública
• Seguimiento de conformidad: preparar una auditoría PCI DSS, ISO 27001 o SOC 2 que exige estos controles
• Respuesta a incidente: verificar que ninguna cabecera HTTP crítica haya sido eliminada tras una actualización del servidor

Cómo usar el analizador en 3 pasos

Paso 1: introducir la URL a probar

Indica la URL completa a analizar, por ejemplo https://captaindns.com. La herramienta acepta URL públicas accesibles tanto en HTTPS como en HTTP, y sigue la cadena de redirecciones (hasta 5) si es necesario.

Paso 2: lanzar el análisis de cabeceras

Haz clic en Analizar cabeceras. El servidor realiza una petición GET hacia la URL, captura la totalidad de las cabeceras HTTP devueltas y luego aplica las reglas de scoring sobre los 10 security headers vigilados.

Paso 3: leer la nota y las recomendaciones

Obtienes:

• La nota de A a F y la puntuación sobre 100
• El detalle cabecera por cabecera con estado presente/ausente
• Los valores recomendados para cada cabecera ausente
• Los tooltips pedagógicos que explican el rol de cada cabecera

¿Qué son las cabeceras HTTP de seguridad?

Una cabecera HTTP es una línea de metadatos enviada por el servidor además del contenido de la página. Las security headers son una familia específica de cabeceras que pilotan el comportamiento del navegador para bloquear o limitar los ataques del lado cliente.

Cuando tu navegador carga https://captaindns.com, el servidor devuelve primero sus cabeceras HTTP antes que el HTML. Estas cabeceras indican por ejemplo: 'Forzar HTTPS durante un año' (HSTS), 'Ejecutar solo los scripts del mismo dominio' (CSP), o 'Rechazar ser mostrado en un iframe' (X-Frame-Options).

Ejemplo de cabeceras HTTP devueltas por un sitio seguro:

HTTP/2 200
strict-transport-security: max-age=31536000; includeSubDomains; preload
content-security-policy: default-src 'self'; script-src 'self'
x-content-type-options: nosniff
x-frame-options: DENY
referrer-policy: strict-origin-when-cross-origin
permissions-policy: geolocation=(), microphone=()

Sin estas security headers, el navegador aplica comportamientos por defecto mucho más permisivos, heredados de los inicios de la web.

Las 10 cabeceras analizadas y su rol

La herramienta evalúa 10 cabeceras HTTP, cada una con un peso que refleja su impacto sobre la postura de seguridad.

Las seis primeras cabeceras (críticas y estándar) constituyen la puntuación de base: suman 10 puntos, el máximo posible. Las cuatro últimas son avanzadas: su peso de 0,5 se añade como bonificación (hasta +2 puntos) capaz de compensar una cabecera de base imperfecta, sin superar nunca el tope de 10. Dos cabeceras heredadas (X-XSS-Protection y X-Permitted-Cross-Domain-Policies) no figuran en esta tabla porque restan puntos si están presentes.

¿Cómo se calcula tu nota?

El cálculo aplica una lógica reproducible en tres pasos.

Paso 1: puntuación bruta sobre 10 Cada cabecera de base presente y correctamente configurada aporta su peso completo. Una cabecera presente pero mal configurada (p. ej. HSTS con max-age demasiado corto, o una CSP con unsafe-inline) aporta un peso reducido. Las seis cabeceras de base suman como máximo 10 puntos.

Paso 2: bonificaciones y penalizaciones Las cuatro cabeceras avanzadas (COOP, COEP, CORP y CSP-Report-Only) añaden hasta +2 puntos de bonificación, capaces de compensar una cabecera de base imperfecta sin superar nunca el tope de 10. Dos cabeceras heredadas restan puntos si están presentes: X-XSS-Protection (-0,5) y X-Permitted-Cross-Domain-Policies (-0,2). El resultado se limita al rango de 0 a 10.

Paso 3: conversión sobre 100 y asignación de la nota La puntuación se lleva a una escala de 100 (score = efectivo / 10 × 100) y se traduce en una nota de A+ a F:

A retener: HSTS y CSP pesan juntos 6 puntos sobre 10, es decir más de la mitad de la puntuación de base. Su ausencia hace caer mecánicamente la nota varios peldaños.

Casos de uso concretos

Incidente 1: sitio con nota F tras rediseño

Síntoma: tras la migración a un nuevo framework, el sitio obtiene F cuando tenía B antes del rediseño.

Diagnóstico: el analizador revela la ausencia de CSP, HSTS y X-Frame-Options. Las cabeceras eran añadidas por el antiguo servidor Nginx, eliminadas al pasar a un hosting gestionado que no las incluye por defecto.

Acción: añadir las security headers en la configuración del nuevo framework (next.config.js, middleware Express, etc.) y luego volver a lanzar el análisis para confirmar el regreso a la nota B o A.

Incidente 2: auditoría de conformidad bloqueada

Síntoma: el auditor reporta la ausencia de security headers como finding mayor, bloqueando la certificación PCI DSS.

Diagnóstico: el test de seguridad de sitio web confirma HSTS ausente, CSP ausente, Referrer-Policy no definido. El servidor Apache sirve la conf por defecto sin añadidos.

Acción: configurar las directivas Header set en el vhost Apache, desplegar en staging, lanzar el analizador para verificar la nota, luego pasar a producción. Volver a pasar el test para entregar el informe conforme al auditor.

Incidente 3: clickjacking detectado en bug bounty

Síntoma: un investigador en seguridad reporta vía bug bounty que puede enmarcar el panel cliente en un iframe malicioso.

Diagnóstico: el analizador muestra X-Frame-Options ausente y CSP sin directiva frame-ancestors. El navegador autoriza por tanto el embedding por defecto.

Acción: añadir X-Frame-Options: DENY y frame-ancestors 'none' en la CSP. Volver a lanzar el análisis para confirmar el cierre de la falla y cerrar el ticket bug bounty.

FAQ - Preguntas frecuentes

P: ¿Qué es un analizador de cabeceras HTTP?

R: Un analizador de cabeceras HTTP es una herramienta que inspecciona las cabeceras devueltas por un servidor web durante una petición. Verifica la presencia y configuración de los security headers como CSP, HSTS o X-Frame-Options. Nuestro analizador recupera estas cabeceras HTTP, evalúa su conformidad con las buenas prácticas OWASP y asigna una nota de A a F. Es la base de un test de seguridad de sitio web completo y rápido.

P: ¿Qué security headers son indispensables en 2026?

R: Las cabeceras críticas en 2026 son Content-Security-Policy (CSP) para bloquear scripts no autorizados, Strict-Transport-Security (HSTS) para forzar HTTPS, X-Content-Type-Options para impedir el MIME sniffing, X-Frame-Options o frame-ancestors CSP contra el clickjacking, y Referrer-Policy para limitar la fuga de URL. Permissions-Policy y Cross-Origin-Opener-Policy completan una postura moderna. Sin estas cabeceras HTTP, tu sitio sigue expuesto a ataques conocidos.

P: ¿Cuál es la diferencia entre CSP y HSTS?

R: CSP (Content-Security-Policy) controla las fuentes autorizadas para cargar scripts, estilos, imágenes o iframes. Protege contra el XSS y la inyección de contenido. HSTS (Strict-Transport-Security) fuerza al navegador a acceder al sitio solo por HTTPS, impidiendo los ataques de downgrade. CSP actúa a nivel del contenido de la página, HSTS a nivel del transporte. Ambas cabeceras HTTP son complementarias e indispensables para una nota de seguridad alta.

P: ¿Cómo añado security headers a mi sitio?

R: Depende de tu stack:

• Nginx: directivas add_header en el bloque server
• Apache: Header set en .htaccess o la conf vhost
• Cloudflare: Transform Rules o Workers
• Next.js: headers() en next.config.js
• Express: middleware helmet
• Laravel: middleware dedicado

Tras el despliegue, vuelve a lanzar el análisis para confirmar que las cabeceras HTTP se devuelven correctamente.

P: ¿Son una vulnerabilidad las security headers ausentes?

R: Las cabeceras ausentes no son una vulnerabilidad directa, pero suprimen capas de defensa. Sin CSP, una falla XSS se vuelve totalmente explotable. Sin HSTS, el usuario sigue siendo vulnerable al sslstrip en una red hostil. Sin X-Frame-Options, tu sitio puede ser enmarcado para clickjacking. Los auditores PCI DSS, ISO 27001 y SOC 2 consideran estas cabeceras HTTP como controles de seguridad esperados.

P: ¿Es gratis esta herramienta de test de seguridad de sitio web?

R: Sí, nuestro analizador de cabeceras HTTP es totalmente gratis, sin registro ni límite de uso. Lanza tantos tests de seguridad de sitio web como necesites, en cualquier URL pública. Los resultados incluyen la nota de A a F, el detalle de cada cabecera analizada y las recomendaciones de configuración. No se conserva ningún dato más allá del tiempo necesario para calcular la puntuación.

Herramientas complementarias

Recursos útiles

• MDN - HTTP security headers (referencia completa Mozilla)
• OWASP Secure Headers Project (recomendaciones OWASP)
• RFC 6797 - HTTP Strict Transport Security (especificación HSTS)
• MDN - X-Frame-Options (documentación X-Frame-Options)
• Content-Security-Policy Reference (referencia CSP con ejemplos)