Cabeceras de seguridad HTTP: qué son y cómo configurarlas
Equipo FSV · · 6 min de lectura
Las cabeceras de seguridad le indican al navegador cómo debe proteger tu sitio. Son uno de los arreglos con mejor relación esfuerzo/beneficio: se configuran una vez en el servidor o el CDN y protegen todas las páginas.
Strict-Transport-Security (HSTS)
Obliga al navegador a usar siempre HTTPS con tu dominio, evitando que una conexión se degrade a HTTP. Un valor común es max-age=31536000; includeSubDomains, una vez que todo el sitio funciona con HTTPS.
Content-Security-Policy (CSP)
Define desde dónde puede cargar scripts, estilos e imágenes tu sitio. Es la defensa más fuerte contra la inyección de scripts (XSS). Conviene empezar en modo de solo reporte (Content-Security-Policy-Report-Only) y ajustarla antes de aplicarla.
X-Frame-Options o frame-ancestors
Impide que otros sitios muestren el tuyo dentro de un iframe, lo que evita ataques de clickjacking. Usa X-Frame-Options: DENY o SAMEORIGIN, o la directiva frame-ancestors de CSP.
X-Content-Type-Options
Con el valor nosniff, el navegador no intenta adivinar el tipo de un archivo, lo que evita que un archivo subido se ejecute como script.
Referrer-Policy y Permissions-Policy
Referrer-Policy controla qué información de la URL se envía a otros sitios (strict-origin-when-cross-origin es un buen punto de partida). Permissions-Policy desactiva funciones del navegador que tu sitio no usa, como cámara o geolocalización.
Cookies seguras
- Secure: la cookie solo viaja por HTTPS.
- HttpOnly: JavaScript no puede leerla (protege las sesiones ante XSS).
- SameSite=Lax o Strict: reduce el riesgo de CSRF.