Comprobación de cabeceras de seguridad
Califica de A+ a F las cabeceras de seguridad HTTP de cualquier sitio, con lo que hace cada cabecera y qué cambiar.
Qué comprueba esta herramienta
DNSPeek carga tu dominio desde https:// (o desde http:// si nada responde por HTTPS), sigue sus redirecciones como un navegador y lee las cabeceras de respuesta de la página final. Detrás de una CDN como Cloudflare, son las cabeceras que envía su edge. Comprueba Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy, y anota las cabeceras Server o X-Powered-By que revelan versiones de software.
De qué protegen las cabeceras
HSTS mantiene a los navegadores en HTTPS para que nadie pueda degradar la conexión. Una CSP limita desde dónde pueden cargarse los scripts y es la principal defensa contra el cross-site scripting. X-Frame-Options impide que otros sitios enmarquen el tuyo para hacer clickjacking. nosniff impide que los navegadores ejecuten un archivo como un tipo distinto del declarado. Referrer-Policy limita qué URL se filtran a otros sitios, y Permissions-Policy desactiva funciones del navegador que no usas.
Después de una migración
Las cabeceras las fija el servidor web o el CMS, así que suelen cambiar cuando un sitio se muda. Compara la calificación antes y después del cambio. Qué cambian las vistas previas, y por qué, está en la página de limitaciones.
Preguntas frecuentes
¿Cómo se calcula la calificación?
Seis cabeceras suman puntos: Strict-Transport-Security 25, Content-Security-Policy 25, X-Frame-Options (o CSP frame-ancestors) 15, X-Content-Type-Options 15, Referrer-Policy 10 y Permissions-Policy 10. Un valor débil suma la mitad. 95 o más es A+ si no se revelan versiones de software, 85 es A, 70 es B, 55 es C, 40 es D y cualquier valor inferior es F. Una página que no carga con normalidad (un bucle de redirecciones, un fallo de conexión, una página de error o una página de verificación antibots) no se califica: la herramienta muestra el motivo.
¿Qué cabecera debo añadir primero?
Strict-Transport-Security y X-Content-Type-Options: nosniff ocupan una línea cada una y son seguras en casi cualquier sitio. Una Content-Security-Policy es la que más protege, pero necesita pruebas: empieza con Content-Security-Policy-Report-Only y endurécela cuando ya no se notifiquen infracciones.
¿Por qué mi calificación es más baja que en otro escáner?
Cada escáner pondera las cabeceras de forma distinta y algunos revisan más. Esta herramienta revisa las cabeceras de la página a la que finalmente llega tu dominio tras las redirecciones, tal como la vería un visitante.
¿Los enlaces de vista previa de DNSPeek conservan mis cabeceras de seguridad?
No. Para que las páginas funcionen en la dirección de la vista previa, DNSPeek elimina Strict-Transport-Security, Content-Security-Policy y X-Frame-Options en las vistas previas. Revisa tus cabeceras en el dominio real después del cambio de DNS, con esta herramienta.
¿Vas a mover un sitio a un servidor nuevo?
Mira el sitio en el servidor nuevo antes de cambiar los DNS: DNSPeek te da un enlace de vista previa HTTPS que funciona en cualquier dispositivo y que puedes compartir con tu equipo o tu cliente. Sin archivo hosts ni VPN.
Crear un enlace de vista previa gratis