HTTP Headers Checker
Este verificador gratuito de encabezados HTTP solicita una URL y lista cada encabezado de respuesta que envía el servidor: estado, tipo de contenido, caché, compresión, cookies y los encabezados de seguridad. Cada encabezado de seguridad (HSTS, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy) se califica como aprobado, necesita trabajo o falta, con la línea a añadir. Es adecuado para desarrolladores y propietarios de sitios.
HTTP Headers Checker
Technical SEO
Sobre esta herramienta
Los encabezados de respuesta son la parte de una página web que nadie ve y de la que todos dependen. Le dicen a los navegadores si deben almacenar en caché la página, si puede ser enmarcada por otro sitio, qué scripts pueden ejecutarse, si las cookies están protegidas de los scripts y si insistir en HTTPS. Los encabezados de seguridad faltantes son el hallazgo más común en cualquier revisión de seguridad de sitios web, y la mayoría requiere solo una línea de configuración del servidor para corregirse.
El verificador solicita la URL desde nuestro servidor, sigue hasta tres redirecciones e imprime los encabezados de la respuesta final exactamente como se recibieron, en un cuadro copiable. Luego califica los que importan: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (o una directiva frame-ancestors), Referrer-Policy, Permissions-Policy, flags de cookies (Secure, HttpOnly, SameSite), Cache-Control, Content-Encoding y las cadenas de versión filtradas por Server y X-Powered-By.
Los encabezados pueden variar por ruta, por dispositivo y según si una CDN sirve la página, así que verifica las páginas que importan en lugar de solo la página de inicio. Una Content-Security-Policy se califica como presente o ausente, no por fortaleza, porque una política segura depende de los scripts que tu sitio realmente usa. Los encabezados establecidos por JavaScript o dentro del HTML (meta http-equiv) no son encabezados de respuesta y no aparecen aquí.
Preguntas frecuentes
¿Qué encabezados de seguridad debe enviar cada sitio web?
Como mínimo: Strict-Transport-Security en sitios HTTPS, X-Content-Type-Options: nosniff, una regla de enmarcado (X-Frame-Options: SAMEORIGIN o Content-Security-Policy con frame-ancestors) y Referrer-Policy: strict-origin-when-cross-origin. Una Content-Security-Policy y una Permissions-Policy son el siguiente paso. Todos ellos son líneas únicas en Nginx, Apache o la configuración de tu CDN.
¿Qué hace HSTS y es seguro habilitarlo?
Strict-Transport-Security le dice a los navegadores que usen HTTPS para tu dominio durante el tiempo indicado, incluso cuando un enlace dice http. Detiene ataques de degradación y ahorra una redirección. Habilítalo solo cuando cada página y subdominio funcione sobre HTTPS, comienza con un max-age corto como 300, luego auméntalo a 31536000 (un año) una vez que estés seguro.
¿Afectan los encabezados de seguridad al SEO?
No directamente: Google no clasifica sitios por encabezados. Importan para la confianza y la seguridad, y HSTS puede ahorrar una redirección. Los encabezados de caché y compresión sí afectan la velocidad, que es un factor de clasificación, así que Cache-Control en archivos estáticos y compresión gzip o Brotli valen la pena corregir primero.
¿Por qué el verificador muestra encabezados diferentes de mi navegador?
Los servidores y CDN varían los encabezados por solicitud: una sesión iniciada, un agente de usuario móvil, una copia en caché en el borde de la CDN o una región diferente pueden cambiarlos todos. Nuestra solicitud proviene de un servidor con un agente de usuario de navegador de escritorio y sin cookies, así que compáralo con una ventana de navegación privada.
¿Debo ocultar los encabezados Server y X-Powered-By?
Oculta al menos los números de versión. Anunciar "Apache/2.4.29" o "PHP/7.4" les dice a los atacantes exactamente qué vulnerabilidades conocidas probar. El nombre del servidor solo es inofensivo. En Nginx usa server_tokens off; en Apache ServerTokens Prod; en PHP expose_php = Off elimina X-Powered-By.