Erlbuth

Las 7 cabeceras de seguridad que debería tener tu web y cómo comprobar si las tienes de manera sencilla. Es algo que siempre reporto en mis auditorías de seguridad y casi nunca están bien configuradas. No cuesta nada implementarlas y te protegen frente a ciertos ataques: ➡️Strict-Transport-Security (HSTS) Esta cabecera obliga siempre al navegador a usar el protocolo HTTPS. Strict-Transport-Security: max-age=31536000; includeSubDomains ➡️Content-Security-Policy (CSP) Es sin duda la que más pereza da configurar, pero la que más protege. Decide desde qué fuentes se pueden cargar scripts. Si alguien consigue inyectar código en tu web (mediante un ataque XSS), el navegador no lo ejecuta. Empieza por configurar Content-Security-Policy-Report-Only: te avisará de lo que bloquearía sin romper nada. Cuando ya no tengas avisos, actívala. ➡️X-Frame-Options Sin esta cabecera, tu web puede ser cargada en un iframe externo. Esta vulnerabilidad tiene nombre: clickjacking. X-Frame-Options: DENY (o frame-ancestors dentro de la CSP) ➡️X-Content-Type-Options Evita que el navegador “adivine” el tipo de un archivo y acabe ejecutando como script algo que se subió como imagen. X-Content-Type-Options: nosniff ➡️Referrer-Policy Se encarga de controlar qué partes de tu URL se envían a otras webs. Si tus URLs contienen tokens o IDs, nunca se enviarán. Referrer-Policy: strict-origin-when-cross-origin ➡️Permissions-Policy Como su nombre indica, se encarga de bloquear los permisos de cámara, micrófono o ubicación si tu web no los usa. Permissions-Policy: camera=(), microphone=(), geolocation=() ➡️Set-Cookie Configurarla correctamente hará que tus cookies de sesión solo viajen por HTTPS, no se puedan leer con JavaScript y no se envíen desde otras webs. Set-Cookie: ...; Secure; HttpOnly; SameSite=Lax Aparte de todas estas, hay 2 que conviene que elimines: Server y X-Powered-By. Muchas veces dan información extra a los atacantes acerca de las tecnologías o versiones que utiliza tu web. Además, si alguna guía te recomienda incorporar X-XSS-Protection, ignórala, ya que es una cabecera obsoleta. Para comprobar las cabeceras que utiliza tu web, tienes 2 opciones: ➡️ Mete tu dominio en securityheaders.com y comprueba el resultado. ➡️ También puedes hacerlo desde la terminal con el siguiente comando: curl -I tuweb.com Configurarlas todas de manera correcta no te llevará más de 30 minutos. La CSP es la que más tiempo te llevará, pero merece la pena. No te van a salvar de vulnerabilidades críticas, pero incorporan una capa de seguridad adicional a tu web que nunca está de más.