Utilizamos cookies para brindarle la mejor experiencia posible. También nos permiten analizar el comportamiento de los usuarios para mejorar constantemente el sitio web para usted.
Seis cabeceras HTTP separan una web endurecida de una expuesta a clickjacking, inyección de scripts y degradación a HTTP. Te decimos cuáles envía la tuya y cuáles faltan.
Instrucciones que tu servidor envía al navegador con cada página: "fuerza HTTPS", "no permitas que me metan en un iframe", "solo ejecuta scripts de estos orígenes". Cuestan cero y bloquean familias enteras de ataques.
HSTS (fuerza HTTPS siempre, incluso si el usuario teclea http://) y X-Content-Type-Options: nosniff. Son las de mejor ratio beneficio/riesgo: actívalas hoy en cualquier web.
Content-Security-Policy limita qué scripts pueden ejecutarse: es la mejor defensa contra XSS, pero una CSP mal escrita rompe la web. Se despliega primero en modo Report-Only, se ajusta con los informes y después se aplica.
Esta nota mide la configuración del servidor, no las vulnerabilidades de tu aplicación. Una A aquí con un WordPress sin actualizar sigue siendo una web vulnerable. Son controles complementarios.
En el servidor web (.htaccess en Apache, bloque server en Nginx) o en el CDN/proxy si usas Cloudflare o similar. En la mayoría de hostings basta editar el .htaccess; cinco de las seis son una línea cada una.
HSTS, nosniff, Referrer-Policy y X-Frame-Options casi nunca (salvo que tu web deba embeberse en iframes de terceros). CSP y Permissions-Policy sí requieren pruebas: despliégalas en modo informe primero.
No: la F significa que faltan defensas, no que haya intrusión. Es como una puerta sin cerrojo: nadie ha entrado necesariamente, pero conviene ponerlo. La mayoría de webs sin mantenimiento sacan F.