Comprobador de Cabeceras de Seguridad

El Verificador de Cabeceras de Seguridad es una herramienta online gratuita en la que pegas las cabeceras de respuesta HTTP para analizar la configuración de seguridad con calificación, comprobaciones de CSP/HSTS/cookies y análisis de políticas de origen cruzado. Funciona por completo en tu navegador, sin necesidad de instalación ni registro.

CSP, HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, COOP/COEP/CORP, X-XSS-Protection, Cache-Control y los indicadores de seguridad de Set-Cookie.

Cada cabecera se pondera según su gravedad. Una configuración correcta obtiene el peso completo, una mal configurada obtiene parte y una ausente obtiene cero. El total se asigna de A+ a F.

Sí. Todo el análisis se ejecuta en tu navegador. No se envía ningún dato a ningún servidor.

Sí, el Verificador de Cabeceras de Seguridad es 100 % gratuito, sin registro, sin cargos ocultos y sin límites de uso. Todo el procesamiento ocurre localmente en tu navegador, garantizando una privacidad total.

Sí, el Verificador de Cabeceras de Seguridad es totalmente adaptable y funciona en smartphones y tablets. Puedes usarlo en cualquier dispositivo con un navegador web moderno, sin necesidad de descargar ninguna aplicación.

No se necesita ninguna cuenta ni registro. Simplemente abre el Verificador de Cabeceras de Seguridad en tu navegador y empieza a usarlo de inmediato. No hay muros de registro ni restricciones de uso.

Solo tienes que introducir tus datos en el campo correspondiente, ajustar las opciones a tu gusto y la herramienta los procesará al instante. Después puedes copiar el resultado al portapapeles o descargarlo.

El Verificador de Cabeceras de Seguridad funciona en todos los navegadores modernos, como Chrome, Firefox, Safari, Edge y Opera. Para una mejor experiencia, usa la última versión de tu navegador preferido.

Hay dos formas rápidas. Desde la línea de comandos, ejecuta curl -I https://example.com y copia la respuesta, que imprime cada cabecera en su propia línea. Desde el navegador, abre las DevTools, cambia a la pestaña Network, recarga la página, haz clic en la petición del documento principal y copia la sección Response Headers. En cualquier caso, pega las líneas en el cuadro con el formato Clave: Valor, una cabecera por línea. La línea de estado inicial, como HTTP/2 200 OK, puede incluirse sin problema porque se omite automáticamente. Como los métodos curl y DevTools solicitan la página como un cliente real, capturan exactamente las cabeceras que recibe un navegador, incluyendo Set-Cookie y directivas de caché. Si solo quieres ver cómo funciona la calificación, carga el ejemplo integrado Seguro o Débil y revisa el desglose por cabecera.

Una cabecera HSTS sólida indica a los navegadores que se conecten siempre por HTTPS durante mucho tiempo y que esto cubra todos los subdominios. El verificador busca tres elementos: un max-age de al menos 31536000 segundos (un año), la directiva includeSubDomains para que los subdominios hereden la misma regla de solo HTTPS, y la marca preload. Un max-age corto, de unos pocos días, deja una ventana amplia en la que un ataque de degradación o de intermediario (man-in-the-middle) puede eliminar el HTTPS, por lo que la herramienta señala cualquier valor inferior a un año y muestra el valor en días. La marca preload importa porque hace que tu dominio sea apto para las listas de precarga HSTS incluidas en Chrome, Firefox y Safari, que fuerzan HTTPS incluso en la primerísima visita de un usuario. Pega tus cabeceras para ver exactamente cuál de estos tres elementos falta en tu HSTS.

Ambas protegen contra el clickjacking controlando si tu página puede incrustarse en un iframe, pero frame-ancestors es el reemplazo moderno. X-Frame-Options es más antigua y solo admite de forma fiable DENY y SAMEORIGIN; su valor ALLOW-FROM está obsoleto y es ignorado por Chrome, Firefox y Safari, por lo que el verificador marca ALLOW-FROM como mal configurado. La directiva frame-ancestors de Content-Security-Policy cumple la misma función pero es más flexible: acepta una lista de orígenes permitidos y se respeta de forma consistente en los navegadores actuales. La mejor práctica es implementar frame-ancestors 'none' o una lista específica de permitidos en tu CSP, y mantener X-Frame-Options: SAMEORIGIN solo como respaldo para navegadores muy antiguos. La herramienta comprueba si falta la directiva frame-ancestors en tu CSP y lo señala por separado. Pega tus cabeceras para confirmar que tu protección contra clickjacking cubre correctamente ambas capas.

Parece contradictorio, pero 0 es el valor moderno correcto. X-XSS-Protection activaba un auditor de XSS heredado que incorporaban los navegadores antiguos, pero ese auditor tenía bypasses conocidos y, peor aún, podía usarse para desactivar selectivamente partes de una página o filtrar si cierto contenido estaba presente. Los navegadores modernos lo han eliminado por completo, así que un valor como 1; mode=block no aporta nada útil y puede dar una falsa sensación de seguridad. Enviar explícitamente X-XSS-Protection: 0 desactiva cualquier comportamiento heredado residual en los navegadores que todavía reconocen la cabecera. La defensa real contra el cross-site scripting hoy en día es una Content-Security-Policy estricta que bloquee scripts en línea y no confiables, por eso la herramienta pondera mucho la CSP y trata esta cabecera como obsoleta. Pega tus cabeceras para ver si tu CSP está haciendo el trabajo pesado en su lugar.

El verificador inspecciona cada cabecera Set-Cookie en busca de tres marcas: Secure, HttpOnly y SameSite. Secure garantiza que la cookie solo se envíe por HTTPS, de modo que no pueda interceptarse en una conexión sin cifrar. HttpOnly oculta la cookie a JavaScript, lo que impide que un payload de XSS robe un token de sesión mediante document.cookie. SameSite controla si la cookie se envía en peticiones entre sitios; Strict o Lax ayuda a bloquear la falsificación de solicitudes entre sitios (CSRF), mientras que None requiere que Secure esté presente. Las cookies de sesión y autenticación deberían llevar las tres, y la herramienta señala cualquier cookie a la que le falten para que sepas cuáles dejan expuesto a un usuario. Como todo se analiza en tu navegador, puedes pegar con total seguridad respuestas autenticadas que contengan valores reales de Set-Cookie. Pega tus cabeceras para obtener una lista por cookie de qué marcas están presentes y cuáles faltan.