Comprobador de cabeceras de seguridad
Comprueba si un sitio web envía las cabeceras de seguridad HTTP en las que confían los navegadores —HSTS, Content-Security-Policy, X-Frame-Options y más— y obtén una nota de A+ a F.
Cómo funciona
Cómo se calcula la nota
Seis comprobaciones
Cada cabecera presente y correcta suma un punto; un valor débil, medio. Seis puntos dan A+, cinco A, cuatro B y así hasta F.
Cuenta la respuesta final
Se siguen las redirecciones y se califican las cabeceras de la página final, porque es la que cargan tus visitantes.
Añádelas en el borde
Si no puedes cambiar la aplicación, una CDN puede añadir cabeceras de seguridad a cada respuesta por ti.
FAQ
Preguntas frecuentes
¿Es difícil añadir Content-Security-Policy?
Empieza con Content-Security-Policy-Report-Only para recoger infracciones sin bloquear nada y cambia a la cabecera obligatoria cuando los informes estén limpios.
¿HSTS afecta a los subdominios?
Solo con includeSubDomains. Añádelo cuando todos los subdominios funcionen con HTTPS y después considera la lista preload.
¿Por qué no se comprueba X-XSS-Protection?
Los navegadores modernos eliminaron el auditor XSS que controlaba esa cabecera. Content-Security-Policy es su sustituto.
Más herramientas gratuitas
Todas las herramientasWAF, protección contra bots y límites de solicitudes