Qué son las cabeceras de seguridad
Con cada página, el servidor envía cabeceras HTTP. Algunas activan protecciones directamente en el navegador:
- Content-Security-Policy (CSP) define desde dónde puede cargar la página scripts, estilos y otros recursos. Limita el daño si llega a la página código ajeno.
- Strict-Transport-Security (HSTS) ordena abrir la web solo por HTTPS. Se recomienda una validez de al menos un año (max-age=31536000).
- X-Frame-Options o CSP frame-ancestors impiden insertar su web en una página ajena para engañar al visitante con clics.
- X-Content-Type-Options: nosniff impide que el navegador adivine el tipo de archivo.
- Referrer-Policy controla qué parte de la dirección de la página se envía a otras webs; una opción sensata es strict-origin-when-cross-origin.
- Permissions-Policy desactiva funciones que la web no necesita, como la cámara, el micrófono o la ubicación.
A ello se suma el archivo security.txt en /.well-known/security.txt (RFC 9116), con un contacto para notificar fallos de seguridad y una fecha de caducidad.
Por qué importa a una pequeña empresa
Las webs pequeñas suelen funcionar con un gestor de contenidos lleno de plugins y, si uno es vulnerable, las cabeceras limitan lo que un atacante puede hacer a sus visitantes. Además, la falta de cabeceras la ve cualquiera que revise su web, por ejemplo quien convoca una licitación o una aseguradora.
Errores habituales en las cabeceras de seguridad
- CSP con 'unsafe-inline' y 'unsafe-eval' para scripts, o solo upgrade-insecure-requests, que no restringe los scripts.
- HSTS con una validez de pocos minutos o días.
- X-Frame-Options en una etiqueta meta, donde el navegador no aplica esta protección.
- Las cabeceras Server o X-Powered-By revelan la versión exacta del software.
- Un archivo security.txt con la fecha Expires vencida.
Qué comprueba WebMeter y qué no
WebMeter lee las cabeceras que el servidor envía con su página de inicio: CSP, HSTS, protección contra la inserción en marcos, X-Content-Type-Options, Referrer-Policy y Permissions-Policy. También valora los atributos de las cookies, SRI en scripts de otros dominios, CORS, versiones de software reveladas y el archivo security.txt. A modo de comparación, estima las notas de Mozilla Observatory y securityheaders.com.
Solo evalúa la página de inicio, no las API ni otras partes de la web, y no prueba nada. Unas buenas cabeceras no corrigen errores de la aplicación ni software obsoleto.