Análisis de cabeceras de seguridad
Security Header Scan
Califica las cabeceras HSTS, CSP, de marcos, de referente y de permisos de un sitio y muestra cuáles faltan.
La mayoría de las cabeceras que endurecen un sitio cuestan una línea de configuración cada una y faltan en la mayoría de los sitios porque nadie ha mirado. Esta herramienta descarga una URL y califica lo que volvió —HSTS, CSP, marcos, referente y política de permisos— con la línea que hay que añadir por cada una que falta.
Nuestro servidor hace esta solicitud por ti. Solo se le envía la URL que escribiste: ninguna de tus cookies ni tu sesión iniciada viaja con ella. El servidor solo se conecta a direcciones públicas y rechaza las privadas e internas.
Cómo se usa
Introduce la URL
Usa la dirección que la gente visita de verdad. Las cabeceras difieren con frecuencia entre el dominio raíz y `www`, y entre el documento HTML y los recursos estáticos servidos por otra capa.
Arregla primero las de marcos y transporte
`Strict-Transport-Security` y una directiva `frame-ancestors` son baratas, no tienen efecto en el renderizado y cierran dos clases enteras de ataque. Empieza por ahí.
Trata la CSP aparte
Una política de seguridad de contenido tiene que construirse contra lo que cargan tus páginas, no pegarse de un informe. El constructor de CSP hace esa parte.
Preguntas frecuentes
¿Una buena nota es un sitio seguro?
No. Significa que un conjunto de cabeceras de respuesta está presente. No dice nada sobre la autenticación, los fallos de inyección, el control de acceso ni lo que corre detrás de la URL: toda la sustancia de la seguridad de un sitio queda fuera de la vista aquí.
Mis cabeceras están puestas, pero no se detectan.
Comprueba la respuesta que realmente se está calificando: una redirección de `http` a `https`, o del dominio raíz a `www`, puede ser lo que se descargó. Un CDN o un WAF por delante también puede quitar o añadir cabeceras después de que tu origen las fije.
¿Debería activar el preload de HSTS?
Solo cuando cada subdominio, presente y futuro, pueda servir HTTPS: el preload va incrustado en los navegadores y quitarlo lleva meses. Pon primero un `max-age` corto y súbelo cuando estés seguro.
Puede recibir de
Inspector de cabeceras HTTP
HTTP Header Inspector
Pide una URL y muestra las cabeceras de respuesta completas, la cadena de redirecciones, los tiempos y la compresión usada.
Comprobador de certificados SSL
SSL Certificate Checker
Se conecta a un servidor, muestra la cadena que entrega, la caducidad, el protocolo y los cifrados admitidos, y señala los eslabones que faltan.
Hash de integridad de subrecursos
Subresource Integrity Hash
Calcula el atributo Subresource Integrity (sha256, sha384 o sha512) de un script o una hoja de estilos que pegues o sueltes en la página.
Constructor de políticas CSP
CSP Builder
Arma una cabecera Content-Security-Policy desde un formulario guiado o desde un informe de violaciones, y explica cada directiva.
Después
Estas aceptan lo que produce esta herramienta, así que el resultado puede pasar directamente.
Probador de CORS
CORS Tester
Envía la petición preflight que enviaría un navegador desde el origen que indiques, más un GET con esa cabecera Origin, y explica según las reglas del estándar Fetch qué cabecera lo bloqueó.
Constructor de políticas CSP
CSP Builder
Arma una cabecera Content-Security-Policy desde un formulario guiado o desde un informe de violaciones, y explica cada directiva.
Inspector de cabeceras HTTP
HTTP Header Inspector
Pide una URL y muestra las cabeceras de respuesta completas, la cadena de redirecciones, los tiempos y la compresión usada.
Comprobador de certificados SSL
SSL Certificate Checker
Se conecta a un servidor, muestra la cadena que entrega, la caducidad, el protocolo y los cifrados admitidos, y señala los eslabones que faltan.
Limpiador de CSV
CSV Cleaner
Recorta los espacios de las celdas, uniforma los encabezados, arregla los formatos de número y fecha y avisa de las filas con un número de columnas equivocado.
Cruzar dos tablas CSV
CSV Join
Combina dos tablas por una columna clave con semántica interna, izquierda, derecha o externa, y muestra las filas que no encontraron pareja.