Las cabeceras de seguridad HTTP son configuraciones de servidor de una sola línea que instruyen a los navegadores sobre cómo manejar el contenido de tu sitio. Previenen una amplia gama de ataques — desde clickjacking hasta cross-site scripting — sin requerir cambios en el código de tu aplicación.
Las seis cabeceras críticas
1. Content-Security-Policy (CSP)
CSP es la cabecera más poderosa para prevenir ataques XSS. Define una lista blanca de fuentes desde las que se pueden cargar scripts, estilos y otros recursos.
Comienza con una política de solo informe para auditar violaciones antes de aplicarlas:
Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self' https://cdn.example.com; report-uri /csp-violations2. Strict-Transport-Security (HSTS)
HSTS obliga a los navegadores a usar HTTPS para todas las solicitudes futuras a tu dominio, incluso si el usuario escribe http://.
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload3. X-Frame-Options / frame-ancestors
Previene que tus páginas sean incrustadas en iframes en otros sitios (clickjacking). La directiva CSP moderna frame-ancestors reemplaza la cabecera antigua X-Frame-Options.
4. X-Content-Type-Options
Detiene el MIME-sniffing del navegador. Una línea, protección máxima:
X-Content-Type-Options: nosniff5. Referrer-Policy
Controla cuánta información de referente se incluye en las solicitudes salientes. strict-origin-when-cross-origin es el valor predeterminado recomendado.
6. Permissions-Policy
Restringe el acceso a las APIs del navegador (cámara, micrófono, geolocalización). Incluso si no usas estas APIs, restringirlas previene que scripts de terceros las abusen.
Cómo AISeen verifica tus cabeceras
El AISeen Security Score audita las seis cabeceras críticas más la configuración HTTPS, flags de cookies y fugas de información (divulgación de versión del servidor en cabeceras de respuesta).