Saltar al contenido
uencoder

Security Header

Las cabeceras HTTP de seguridad son cabeceras de respuesta que ordenan al navegador activar mecanismos de seguridad, como CSP, HSTS y X-Frame-Options.

Propósito

Declarar políticas de seguridad mediante cabeceras HTTP para que el navegador active protecciones automáticamente, reduciendo la carga de la defensa a nivel de código.

Mecanismo

Cabeceras clave: Content-Security-Policy (defensa XSS), Strict-Transport-Security (HSTS), X-Frame-Options (clickjacking), X-Content-Type-Options: nosniff (detección de MIME), Referrer-Policy (fugas de referrer) y Permissions-Policy (permisos de API).

Casos de uso

  • Endurecimiento de seguridad de aplicaciones web
  • Defensa contra XSS y clickjacking
  • Aplicación obligatoria de HTTPS
  • Cumplimiento de seguridad

Ejemplos

  • entrada 
    Content-Security-Policy: default-src 'self'
    Output 
    Restricts resource sources

    CSP header

Errores comunes

Missing key security headers
Scan with securityheaders.com and fill the gaps

Términos relacionados

CSP
CSP (Content Security Policy) declara, mediante una cabecera HTTP, qué orígenes de recursos puede cargar una página, reduciendo la superficie de ataque de XSS e inyección de datos.
GLOSARIO
HSTS
HSTS (HTTP Strict Transport Security) declara mediante una cabecera HTTP que un sitio solo es accesible por HTTPS, evitando el SSL stripping y los ataques de degradación.
GLOSARIO
CORS
CORS (Cross-Origin Resource Sharing) es un mecanismo de seguridad del navegador que usa cabeceras HTTP para controlar si una página puede acceder a recursos de otro origen, evitando lecturas cross-site.
GLOSARIO
Clickjacking
El clickjacking es un ataque que superpone un iframe transparente sobre una página señuelo para que la víctima, sin saberlo, haga clic en botones del sitio objetivo.
GLOSARIO

References