formexposed
Comenzar

Encabezados de seguridad

¿Qué tan bien protege su sitio lo que escriben los visitantes?

Una calificación de A+ a F para los encabezados HTTP de su página de inicio: HTTPS y HSTS, Content Security Policy, protección contra marcos, cookies y lo que revela el servidor. Gratis, sin cuenta, dos solicitudes.

Cargamos su página de inicio dos veces (https y http), nada más. No se verifican los dominios que se excluyeron.

Qué verificamos

Inicio: 100 puntos. La protección ausente resta puntos y la adicional suma algunos. La calificación depende de los puntos: A+ desde 100 (con HTTPS, HSTS y una CSP estricta), A desde 90, B desde 75, C desde 60, D desde 45 y F por debajo.

  • HTTPS: la página y los datos del formulario viajan cifrados (-40 si falta).
  • HSTS: los navegadores nunca vuelven a http sin cifrar, incluso al escribir una dirección (-20 si falta, -10 con menos de 6 meses, +5 con preload).
  • Content Security Policy: solo se ejecutan scripts aprobados; un script inyectado no puede leer el formulario (-25 si falta, -15 si solo es report-only, -10 con unsafe-inline/eval).
  • Marcos: ninguna página externa puede mostrar la suya en un marco y capturar clics (-20 sin X-Frame-Options ni frame-ancestors).
  • nosniff: el navegador no adivina tipos de archivo (-5 si falta).
  • Referrer-Policy: las direcciones con parámetros del formulario no se filtran a otros sitios (-5 si no es segura).
  • Cookies: Secure, HttpOnly y SameSite (hasta -20).
  • Server y X-Powered-By sin versiones: los atacantes buscan precisamente esas versiones (-5).

Similar a Mozilla HTTP Observatory y securityheaders.com; nuestra ponderación prioriza lo que protege los datos del formulario. Una buena calificación no implica un formulario protegido; para eso está la verificación de formularios.