Verificador gratuito de cabeceras HTTP

El Verificador de Cabeceras HTTP es una herramienta en línea gratuita que muestra las cabeceras de respuesta HTTP de cualquier URL, útil para depuración y análisis de seguridad.

Sí, es completamente gratuito y no requiere registro.

Las cabeceras HTTP revelan el tipo de servidor, las políticas de caché, las configuraciones de seguridad, la codificación de contenido y otros detalles técnicos importantes sobre un sitio web.

Por supuesto. El Verificador de Cabeceras HTTP procesa todo del lado del cliente, en tu navegador. No se sube ni se almacena ningún dato en ningún servidor. Tu contenido permanece privado en tu dispositivo en todo momento.

Sí, el Verificador de Cabeceras HTTP es totalmente adaptable y funciona en smartphones y tablets. Puedes usarlo en cualquier dispositivo con un navegador web moderno, sin necesidad de descargar ninguna app.

No se necesita cuenta ni registro. Simplemente abre el Verificador de Cabeceras HTTP en tu navegador y empieza a usarlo de inmediato. No hay barreras de registro ni restricciones de uso.

Solo tienes que escribir tu texto en el campo indicado, ajustar la configuración a tu gusto y la herramienta lo procesará al instante. Luego puedes copiar el resultado al portapapeles o descargarlo.

El Verificador de Cabeceras HTTP funciona en todos los navegadores modernos, incluidos Chrome, Firefox, Safari, Edge y Opera. Para una mejor experiencia, usa la última versión de tu navegador preferido.

El verificador puntúa siete cabeceras de respuesta en una escala de 100 puntos y luego traduce el total en una calificación de A+ a F. Las dos que más pesan son Strict-Transport-Security y Content-Security-Policy, cada una con hasta 25 puntos porque previenen la degradación de protocolo y el cross-site scripting. X-Frame-Options suma 15 puntos por su protección contra clickjacking, mientras que X-Content-Type-Options, Referrer-Policy y Permissions-Policy aportan 10 cada una. La cabecera heredada X-XSS-Protection vale unos simbólicos 5 puntos. Un sitio sin CSP ni HSTS pierde de inmediato la mitad de su puntuación posible, por eso son las dos primeras cabeceras que vale la pena corregir. Introduce un dominio y la pestaña de Seguridad muestra tu nota junto con qué cabeceras están presentes, ausentes o mal configuradas.

Protegen contra ataques completamente distintos. Strict-Transport-Security (HSTS) le indica al navegador que use siempre HTTPS para un dominio, bloqueando ataques de degradación y de interceptación; un valor sólido es max-age=31536000; includeSubDomains; preload, es decir, un año, todos los subdominios y elegibilidad para la lista de precarga del navegador. Content-Security-Policy (CSP), en cambio, controla desde dónde pueden cargarse los recursos — qué orígenes de scripts, estilos, imágenes y fuentes confía la página — y es una de las defensas más fuertes contra el cross-site scripting y la inyección de código. HSTS refuerza la conexión; CSP refuerza el contenido de la página. Un sitio bien protegido suele configurar ambas, y las dos aportan el peso máximo de 25 puntos en la nota. Esta herramienta analiza tu CSP y desglosa cada directiva, marcando comodines o valores unsafe-inline, así que introduce un dominio para ver cómo está configurada cada una.

Cache-Control es una lista de directivas separadas por comas que deciden quién puede almacenar una respuesta y durante cuánto tiempo. La palabra public significa que cualquier caché, incluida una CDN, puede guardarla, mientras que private restringe el almacenamiento al propio navegador del usuario. El valor max-age es una vida útil en segundos, así que max-age=86400 significa un día. Directivas como no-store prohíben el cacheo por completo, y no-cache permite el almacenamiento pero obliga a revalidar antes de reutilizarlo. Las vidas útiles largas en activos estáticos aceleran las visitas repetidas y reducen la carga en el origen, mientras que el HTML suele llevar valores cortos o no-cache para que las actualizaciones se vean rápido. La pestaña de Caché de esta herramienta traduce todo esto a lenguaje sencillo — público frente a privado, el max-age, y si la respuesta es cacheable o no —, así que introduce un dominio para ver la política explicada sin tener que analizar tú mismo la cadena en bruto.

Los navegadores aplican la política del mismo origen, que impide que el JavaScript de un dominio lea las respuestas en bruto de otro dominio, a menos que ese servidor lo permita explícitamente mediante cabeceras CORS. Es una barrera de seguridad deliberada: sin ella, cualquier página que visites podría rastrear en silencio tus sesiones iniciadas en otros sitios. Por esa restricción, una herramienta que se ejecuta solo en el navegador no puede obtener cabeceras en vivo de un dominio de terceros arbitrario. Este verificador está diseñado como herramienta de aprendizaje y demostración — genera conjuntos de cabeceras representativos y realistas para el dominio que introduces, para que veas exactamente cómo funcionan la puntuación, el análisis de CSP y el desglose de caché. Para inspeccionar las cabeceras reales de un servidor en vivo, ejecuta curl -I https://example.com en una terminal, o abre las DevTools, ve a la pestaña Network, recarga y haz clic en la petición del documento. Usa primero la herramienta para aprender cómo se ven las buenas configuraciones.

Estas dos cabeceras breves detienen dos ataques comunes del lado del navegador. X-Frame-Options controla si tus páginas pueden incrustarse en un iframe desde otro sitio; configurarla como DENY bloquea todo tipo de embebido y SAMEORIGIN solo permite tu propio dominio, lo que neutraliza el clickjacking, en el que un atacante superpone tu página dentro de la suya para engañar a los usuarios y hacer que hagan clic en controles ocultos. X-Content-Type-Options tiene un único valor útil, nosniff, que le dice al navegador que confíe en el Content-Type declarado por el servidor en lugar de intentar adivinarlo a partir de los bytes — evitando ataques de MIME-sniffing en los que un archivo subido como imagen se ejecuta como script. Ambas son mejoras rápidas que valen 15 y 10 puntos respectivamente en la nota de seguridad de esta herramienta. Introduce un dominio y la pestaña de Seguridad mostrará si cada una está presente y correctamente configurada, junto al resto del análisis de cabeceras.