Comprobar las cabeceras de seguridad
Pega la dirección de una página. Leemos sus cabeceras HTTP, comprobamos las nueve protecciones que cuentan y damos una nota que puedes recalcular a mano.
Cómo se calcula la nota
La nota es una suma, no una estimación. Cada control vale un número fijo de puntos; un control superado los da todos, uno parcial la mitad (redondeada hacia abajo: 7 de 15), uno ausente ninguno. Con las cabeceras mostradas arriba, llega al mismo total a mano.
| Control | Puntos | Por qué este peso |
|---|---|---|
| HTTPS | 20 | sin él, ninguna otra protección se sostiene |
| Content-Security-Policy | 20 | la única que limita los daños de una vulnerabilidad XSS |
| Strict-Transport-Security | 15 | impide devolver al visitante a http:// |
| Protección contra la inserción | 10 | impide esconder tu página en un marco para hacer clic sin que el visitante lo sepa |
| X-Content-Type-Options | 10 | impide que el navegador adivine el tipo de un archivo |
| Referrer-Policy | 10 | limita lo que tus direcciones revelan a otros sitios |
| Permissions-Policy | 5 | corta el acceso a la cámara, el micrófono o la ubicación |
| Cookies Secure y SameSite | 5 | impide que una cookie viaje sin cifrar o sirva a una petición falsificada |
| Versión del servidor oculta | 5 | no abre ningún fallo, pero ayuda a buscar uno |
La letra sigue al total: A+ con 100, A desde 90, B desde 75, C desde 60, D desde 45, E desde 30, F por debajo.
Por dónde empezar
Las cabeceras de una línea (X-Content-Type-Options, Referrer-Policy, X-Frame-Options) se ponen en pocos minutos en la configuración del servidor o del alojamiento, sin riesgo para el sitio. HSTS también, siempre que todo el sitio ya se sirva en HTTPS. La CSP exige más cuidado: una política demasiado estricta rompe los scripts de terceros. Empiece en modo informe, mire lo que habría bloqueado y luego actívela.
Lo que esta herramienta no hace
- No prueba ningún fallo: lee las cabeceras que el servidor envía a todo el mundo, y nada más.
- Solo juzga una página. Un sitio puede enviar cabeceras distintas según las páginas, sobre todo entre la portada y el área de clientes.
- No dice si la CSP está bien ajustada para tu sitio: comprueba que existe y protege de los scripts, no que deja pasar los que necesitas.
Preguntas frecuentes
¿Una mala nota perjudica mi posicionamiento?
No directamente: solo HTTPS es una señal de posicionamiento, y pesa poco. Las demás cabeceras protegen a tus visitantes, no tu posición. Pero un sitio pirateado se retira de los resultados o se marca como peligroso, y estas cabeceras son parte de lo que lo protege.
¿Cómo se añaden estas cabeceras?
En la configuración del servidor (Apache, Nginx), en el panel de un servicio como Cloudflare, o con un plugin en WordPress. En la mayoría de los alojamientos compartidos, un archivo .htaccess basta para las cabeceras sencillas.
¿Por qué la página no muestra el valor de las cookies?
Porque esas cookies se instalaron para nuestra visita y no te dirían nada. Para la seguridad solo cuentan su nombre y sus atributos (Secure, HttpOnly, SameSite), y son lo único que guardamos.
Para profundizar
HTTPS y SEO: lo que cambia realmente Pasar a HTTPS cambia cuatro cosas concretas. El posicionamiento es la más pequeña de las cuatro, y de la que todo el mundo habla.Las otras herramientas
Comprobar un certificado SSL
Fecha de caducidad del certificado, emisor y nombres que cubre de verdad.
Comprobar SPF, DKIM y DMARC
SPF, DKIM y DMARC leídos y evaluados, incluida la cadena de las diez consultas SPF, con los requisitos de Gmail y Yahoo.
¿Se puede indexar mi página?
Noindex, robots.txt, canonical, código HTTP: lo que impide a Google y Bing indexar una página, buscador por buscador.
Recibir un aviso antes de que falle el certificado
Expansel comprueba el certificado HTTPS de tus sitios en cada pasada y te avisa antes del vencimiento, no el día en que el navegador muestra un aviso rojo a tus visitantes.