MagnoSec

Herramienta gratuita

Generador de cabeceras de seguridad HTTP

Selecciona las cabeceras que quieras (HSTS, CSP, X-Frame-Options, Referrer-Policy…) y copia la configuración lista para tu servidor: Nginx, Apache, Netlify, Vercel o Express. Todo se genera en tu navegador, sin enviar nada.

Evita el clickjacking (que tu web se cargue dentro de otra).

Controla qué información de origen se envía en las peticiones.

Adáptala a tus recursos reales y pruébala antes en Report-Only. Una CSP estricta sin probar suele romper la web.

Desactiva APIs del navegador que tu web no necesita.

Quién puede incrustar tus recursos (imágenes, scripts).

Configuración

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Content-Security-Policy "default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'self';" always;
add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;
add_header Cross-Origin-Opener-Policy "same-origin" always;
add_header Cross-Origin-Resource-Policy "same-origin" always;
add_header X-XSS-Protection "0" always;

Qué hace cada cabecera

  • Strict-Transport-Security (HSTS). Fuerza HTTPS en todas las visitas futuras durante el max-age. Con includeSubDomains y preload, es la forma de evitar el downgrade a HTTP.
  • X-Content-Type-Options: nosniff. Impide que el navegador adivine el tipo de archivo, cortando ataques por archivos disfrazados.
  • Content-Security-Policy (CSP). Define de qué orígenes se pueden cargar scripts, estilos e imágenes. Es la cabecera más potente contra XSS, y la más fácil de romper si no se prueba.
  • X-Frame-Options / frame-ancestors. Evita el clickjacking: que tu web se cargue dentro de un iframe ajeno para engañar al usuario.
  • Referrer-Policy. Decide cuánta información de la URL se filtra al navegar a otros sitios.
  • Permissions-Policy. Desactiva APIs del navegador (cámara, micrófono, geolocalización) que tu web no usa.

Cómo implantarlas sin romper la web

Las cabeceras de seguridad son de las mejoras más rápidas que existen: no tocan el código y mitigan categorías enteras de ataques en el navegador. Pero dos de ellas son delicadas. La CSP puede bloquear recursos legítimos si no refleja los orígenes reales de tu web, así que se despliega primero en modo Report-Only, se revisan los informes y solo después se activa el bloqueo. La HSTS con preload obliga a HTTPS de forma difícil de revertir: actívala solo si tienes HTTPS estable y válido en todos tus subdominios.

Prueba siempre en staging antes de producción. Puedes comprobar el resultado final con el comprobador de cabeceras de seguridad.

Esto no sustituye a un pentesting

Unas cabeceras bien puestas son una capa de defensa en profundidad, pero no encuentran ni corrigen vulnerabilidades en tu lógica de negocio, tu autenticación o tus APIs. Eso solo se detecta probando la aplicación de verdad. Puedes ver nuestro pentesting web y APIs o cómo contratar un pentesting.

Cabeceras bien, ¿y el resto?

Las cabeceras cierran puertas, pero la tuya puede estar abierta por otro lado. Probamos tus aplicaciones y APIs como lo haría un atacante y te entregamos un informe accionable.

Ver pentesting web y APIsHablar con nosotros

Preguntas frecuentes

¿Qué son las cabeceras de seguridad HTTP?

Directivas que el servidor envía al navegador para indicarle cómo comportarse ante riesgos (sniffing, clickjacking, XSS, downgrade a HTTP). Reducen la superficie de ataque sin tocar el código.

¿Cuáles son las imprescindibles?

Strict-Transport-Security, X-Content-Type-Options, Content-Security-Policy y X-Frame-Options (o frame-ancestors). Referrer-Policy, Permissions-Policy y las Cross-Origin completan la configuración.

¿Cómo configuro la CSP sin romper la web?

Empieza en modo Report-Only (solo informa, no bloquea), revisa las violaciones, ajusta la política a tus recursos reales y solo entonces activa el bloqueo.

¿Puedo romper mi web al añadirlas?

Sí, si las aplicas sin probar. La CSP puede bloquear recursos legítimos y la HSTS con preload es difícil de revertir. Prueba en staging primero.

¿Sustituyen a un pentesting?

No. Son defensa en profundidad: mitigan fallos en el navegador, pero no detectan vulnerabilidades en tu lógica de negocio, autenticación o APIs. Eso requiere una prueba real.

¿Quieres más información?