formexposed
Empezar

Cabeceras de seguridad

¿Qué tan bien protege su sitio lo que escriben los visitantes?

Una nota de A+ a F para las cabeceras HTTP de su página de inicio: HTTPS y HSTS, Content Security Policy, protección frente a la inclusión en frames, cookies y lo que revela el servidor. Gratis, sin cuenta, dos solicitudes.

Cargamos su página de inicio dos veces (https y http), nada más. Los dominios que se han excluido no se comprueban.

Qué comprobamos

Inicio: 100 puntos. La protección ausente resta puntos y la protección adicional suma algunos. La nota sigue a los puntos: A+ desde 100 (con HTTPS, HSTS y una CSP estricta), A desde 90, B desde 75, C desde 60, D desde 45 y, por debajo, F.

  • HTTPS: la página y los datos del formulario viajan cifrados (-40 sin él).
  • HSTS: los navegadores nunca vuelven a http sin cifrar, ni siquiera con una dirección escrita a mano (-20 sin él, -10 con menos de 6 meses, +5 con preload).
  • Content Security Policy: solo se ejecutan los scripts aprobados; un script inyectado no puede leer el formulario (-25 sin ella, -15 solo report-only, -10 con unsafe-inline/eval).
  • Frames: ninguna página ajena puede mostrar la suya en un frame y capturar clics (-20 sin X-Frame-Options ni frame-ancestors).
  • nosniff: el navegador no adivina los tipos de archivo (-5 sin él).
  • Referrer-Policy: las direcciones con parámetros del formulario no se filtran a otros sitios (-5 si no es segura).
  • Cookies: Secure, HttpOnly y SameSite (hasta -20).
  • Server y X-Powered-By sin versiones: los atacantes buscan precisamente eso (-5).

Similar a Mozilla HTTP Observatory y securityheaders.com; nuestra ponderación da prioridad a lo que protege los datos del formulario. Una buena nota no significa un formulario protegido: para eso está la comprobación del formulario.