Security Headers Checker
Este verificador gratis de encabezados de seguridad solicita tu URL y califica seis encabezados de respuesta sobre 100 con una letra de A a F: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy y Permissions-Policy. Cada brecha viene con una línea lista para copiar y pegar en Nginx y Apache, para que puedas corregirla en minutos.
Security Headers Checker
Technical SEO
Sobre esta herramienta
Los encabezados de seguridad son instrucciones breves que tu servidor envía con cada página para indicar al navegador cómo comportarse de forma estricta. Pueden forzar HTTPS, evitar que tus páginas sean enmarcadas por otros sitios, bloquear que el navegador adivine tipos de archivo, limitar qué scripts pueden ejecutarse y decidir cuánta información de tu dirección se comparte cuando un visitante hace clic en un enlace. La mayoría cuesta una línea de configuración del servidor.
El verificador obtiene la página y califica seis encabezados: Strict-Transport-Security (20 puntos), Content-Security-Policy (25), X-Content-Type-Options (15), protección contra clickjacking mediante X-Frame-Options o frame-ancestors (15), Referrer-Policy (10) y Permissions-Policy (15). Un valor débil obtiene la mitad de los puntos. El total da la calificación: A desde 90, B desde 75, C desde 60, D desde 40, E desde 20 y F por debajo de eso.
La calificación mide qué encabezados están presentes y no son obviamente débiles, no si tu sitio es seguro. Un sitio puede obtener A y aún tener código vulnerable, y una Content-Security-Policy se verifica por presencia y debilidades obvias, no se prueba contra tus scripts. Añade encabezados uno a la vez y prueba el sitio, especialmente la Content-Security-Policy, que puede bloquear scripts de los que dependes.
Preguntas frecuentes
¿Cuál es una buena calificación de encabezados de seguridad?
A o B es un resultado sólido para la mayoría de sitios. Una Content-Security-Policy es el encabezado más difícil de añadir de forma segura, así que muchos sitios buenos se quedan en B o C hasta que construyen una política. Corrige primero los rápidos: HSTS, X-Content-Type-Options, una regla de enmarcado, Referrer-Policy y Permissions-Policy.
¿Mejorarán los encabezados de seguridad mi posicionamiento?
Google no clasifica sitios por sus encabezados. Protegen a los visitantes y tu marca, y HSTS puede ahorrar un redireccionamiento. También generan confianza con clientes y socios conscientes de la seguridad. Trátalos como higiene del sitio que va junto a HTTPS, no como una táctica de SEO.
¿Puede una Content-Security-Policy romper mi sitio?
Sí. Una política estricta bloquea cualquier script, estilo o marco que no permita, incluidos análisis, widgets de chat y código de anuncios, así que una política apresurada puede romper características en las que los visitantes confían. Comienza con Content-Security-Policy-Report-Only, revisa qué se bloquearía, ajusta la política, luego cambia al modo de aplicación.
¿Dónde añado estos encabezados?
En la configuración del servidor web (Nginx add_header, Apache Header set), en una regla de CDN como Cloudflare Transform Rules, o en el código de tu aplicación. En hosting compartido a menudo puedes añadirlos en el archivo .htaccess. Los fragmentos de corrección a continuación muestran ambas formas de Nginx y Apache.