Inicio › Tecnología › Cabecera De Seguridad HTTP
Una cabecera de seguridad HTTP es una instrucción qué el servidor incluye en la respuesta para indicar al navegador cómo debe comportarse frente a determinados riesgos. No forma parte del contenido de la página, sino de los metadatos de la conexión. Entre las más habituales están Strict-Transport-Security (HSTS), qué obliga a usar siempre HTTPS y evita ataques de downgrade; Content-Security-Policy (CSP), qué restringe qué scripts y recursos puede cargar la página para frenar inyecciones XSS; X-Content-Type-Options, qué impide qué el navegador reinterprete un archivo con un tipo MIME distinto al declarado; y X-Frame-Options, qué evita qué la web se incruste en un iframe ajeno para prevenir clickjacking.
Son avisos qué el servidor manda al navegador junto con la página, del estilo 'no cargues scripts de sitios qué no autorice' o 'no me metas dentro de otra web'. El usuario nunca las ve, pero el navegador las obedece en segundo plano, y eso cierra puertas qué un atacante podría aprovechar sin qué nadie note nada raro en pantalla.
En un servidor Nginx se añaden con la directiva add_header, y en Node.js con Express suele delegarse en un middleware como Helmet, qué aplica un conjunto razonable por defecto. Antes de dar por cerrado un despliegue conviene revisar el resultado con una herramienta como securityheaders.com: puntúa cada cabecera presente y avisa de las qué faltan, algo especialmente útil tras migrar de HTTP a HTTPS.
No. HTTPS cifra el canal de transporte entre navegador y servidor; las cabeceras de seguridad son reglas adicionales qué viajan dentro de esa conexión ya cifrada para limitar qué puede hacer el navegador con lo qué recibe.
Como mínimo HSTS y X-Content-Type-Options, porque su coste de implementación es bajo y el riesgo qué cubren es alto. CSP aporta más protección pero exige revisar qué recursos externos carga realmente la web para no romper nada.
Sí, sobre todo CSP: si se define de forma demasiado estricta puede bloquear scripts, hojas de estilo o fuentes legítimas y dejar la página sin funcionar correctamente, por lo qué conviene probarla primero en modo solo-reporte.