Analizador de cabeceras de seguridad gratis

El Analizador de Cabeceras de Seguridad es una herramienta en línea gratuita que comprueba las cabeceras de seguridad de un sitio web y ofrece sugerencias de mejora. Funciona completamente en tu navegador, sin necesidad de instalación ni registro.

Sí, es completamente gratis y no requiere registro.

El Analizador de Cabeceras de Seguridad comprueba Content-Security-Policy, X-Frame-Options, HSTS, X-Content-Type-Options, Referrer-Policy y otras cabeceras de seguridad importantes.

Por supuesto. El Analizador de Cabeceras de Seguridad procesa todo en el lado del cliente, dentro de tu navegador. No se sube ni se almacena ningún dato en ningún servidor. Tu contenido permanece privado en tu dispositivo en todo momento.

Sí, el Analizador de Cabeceras de Seguridad es totalmente adaptable y funciona en smartphones y tablets. Puedes usarlo en cualquier dispositivo con un navegador web moderno, sin necesidad de descargar ninguna aplicación.

No se necesita ninguna cuenta ni registro. Simplemente abre el Analizador de Cabeceras de Seguridad en tu navegador y empieza a usarlo de inmediato. No hay barreras de registro ni restricciones de uso.

Solo tienes que introducir tu información en el campo correspondiente, ajustar las opciones a tu gusto y la herramienta la procesará al instante. Después puedes copiar el resultado al portapapeles o descargarlo.

El Analizador de Cabeceras de Seguridad funciona en todos los navegadores modernos, incluidos Chrome, Firefox, Safari, Edge y Opera. Para una mejor experiencia, usa la última versión de tu navegador preferido.

Ambas cabeceras limitan cómo puede usarse una página, pero defienden contra ataques distintos. Content-Security-Policy (CSP) controla desde dónde puede cargar recursos una página —scripts, estilos, imágenes, fuentes y frames—, lo que la convierte en la defensa más fuerte contra el cross-site scripting (XSS) y la inyección de datos. X-Frame-Options es más limitada: solo controla si tu página puede incrustarse dentro de un iframe, lo que detiene el clickjacking, donde un atacante superpone tu sitio para engañar a los usuarios y que hagan clic sin saberlo. CSP puede sustituir en la práctica a X-Frame-Options usando su directiva frame-ancestors (configurada en 'none' para bloquear todo tipo de incrustación), por lo que las configuraciones modernas suelen apoyarse en CSP para ambas funciones. Este analizador rastrea ambas cabeceras, explica el propósito de cada una y mapea los ataques concretos que previenen en su pestaña Reference, para que veas exactamente qué protección te falta.

Los navegadores aplican una restricción de seguridad de origen cruzado que impide que el JavaScript de un sitio lea las cabeceras de respuesta HTTP sin procesar de otro sitio. Como esta herramienta funciona por completo en tu navegador y no tiene backend, no puede obtener ni analizar las cabeceras reales de una URL externa; eso requeriría una petición desde el servidor para saltarse la regla de origen cruzado. Por eso el analizador genera una evaluación simulada e ilustrativa en lugar de un escaneo en vivo real. La puntuación, la calificación y los estados de Presente/Advertencia/Ausente son ejemplos, no tu configuración real. El valor genuinamente preciso está en otra parte: la referencia de cabeceras, el mapeo de ataques a cabeceras y las configuraciones de servidor para copiar y pegar son correctas independientemente del escaneo de demostración. Usa la demo para conocer el panorama y luego confía en las pestañas Reference y Server Configs para reforzar tu sitio real.

La calificación se pondera por severidad en lugar de contar todas las cabeceras por igual, de modo que las que más importan tienen más peso. Las cabeceras críticas como HSTS, CSP y X-Content-Type-Options valen 20 puntos cada una, las de severidad alta 15, las medias 10 y las bajas 5. Una cabecera totalmente presente obtiene todo su peso, una configurada parcialmente obtiene la mitad, y una ausente no suma nada; el total se normaliza después a un porcentaje de 0 a 100. En términos generales, 95 o más equivale a A+, 90+ a A, 75+ a B, 60+ a C, y cualquier valor por debajo de 50 cae en D o F, con varias calificaciones intermedias con más y menos. El resumen también muestra cuántas cabeceras críticas faltan, de modo que una sola ausencia de HSTS o CSP resulta imposible de pasar por alto. Ejecuta un escaneo para ver esta ponderación en acción.

El valor recomendado de Strict-Transport-Security es max-age=31536000; includeSubDomains; preload. HSTS obliga a los navegadores a conectarse únicamente por HTTPS, bloqueando ataques de downgrade de protocolo y de intermediario (man-in-the-middle) que aprovechan una petición inicial insegura. El max-age se mide en segundos, y 31536000 equivale exactamente a un año, una ventana larga para que el navegador siga exigiendo HTTPS entre visitas. includeSubDomains extiende esa protección a todos los subdominios, y preload indica que quieres que el dominio quede incluido en la lista de precarga HSTS integrada en los navegadores, de modo que HTTPS se aplique incluso en la primerísima visita de un usuario. Este analizador marca HSTS como cabecera crítica y proporciona este valor exacto, listo para copiar. Consíguelo en la pestaña Server Configs de la herramienta, que genera fragmentos equivalentes para Nginx, Apache, Express y Next.js que puedes pegar directamente en tu configuración.

Una vez que sabes qué cabeceras faltan, la solución es un cambio de configuración, no de código. La pestaña Server Configs de esta herramienta genera fragmentos de cabeceras listos para pegar para cuatro stacks habituales: Nginx usando directivas add_header, Apache usando mod_headers, Express.js mediante el middleware Helmet, y Next.js usando la función headers() en next.config.js. Cada bloque utiliza los valores recomendados para todas las cabeceras rastreadas —por ejemplo nosniff para X-Content-Type-Options y una Content-Security-Policy inicial—, así que no tienes que armarlos a mano. Copia el bloque correspondiente a tu plataforma, colócalo en tu configuración de servidor o aplicación, y recarga o vuelve a desplegar para que las cabeceras entren en vigor. Después de desplegar, verifica el resultado con el panel de red de tu navegador o un comprobador de cabeceras del lado del servidor, ya que el propio escaneo de este analizador funciona en modo demostración. Abre la pestaña Server Configs para copiar el fragmento que corresponde a tu stack.