Cabeceras de seguridad son pequeños fragmentos de código enviados desde el servidor de tu sitio web al navegador de tu visitante, que le indican cómo comportarse. Son invisibles para los usuarios, pero cruciales entre bastidores. Piensa en ellos como si fueran las reglas de la casa: guían a los navegadores sobre lo que está permitido y lo que no, ayudando a proteger tu sitio de una amplia gama de ataques comunes.
Sin cabeceras de seguridad, tu sitio es como un edificio sin señales, cerraduras ni cámaras. Puede que siga funcionando, pero es más fácil entrar a robar.
¿Qué hacen las cabeceras de seguridad?
Cuando alguien visita tu sitio web, su navegador pide a tu servidor contenido: páginas, scripts, imágenes, etc. Junto a esos activos, tu servidor puede enviar cabeceras-instrucciones sobre cómo debe tratarlas el navegador.
Cabeceras de seguridad son tipos específicos de estas instrucciones que:
- Evita scripts maliciosos de correr
- Bloquea tu sitio para que no se incruste en páginas fraudulentas
- Evita que los navegadores carguen tu sitio a través de conexiones inseguras
- Limitar el uso o el acceso a las cookies
Estas cabeceras no cambian el aspecto ni la funcionalidad de tu sitio, pero marcan una gran diferencia en su resistencia a los ataques.
Cabeceras de seguridad comunes
Aquí tienes algunas de las cabeceras más importantes y lo que hacen:
- Política de Seguridad de Contenidos (PSC)
Controla qué scripts, estilos y otros recursos se pueden cargar. Bloquea código malicioso como XSS (cross-site scripting). - X-Frame-Options
Evita que tu sitio se incruste dentro de iframes. Esto detiene clickjacking-donde los atacantes engañan a los usuarios para que pulsen botones ocultos. - Estricto-Transporte-Seguro (HSTS)
Obliga a los navegadores a utilizar conexiones HTTPS. Si alguien intenta acceder a tu sitio a través de HTTP, esta cabecera se asegura de que se actualice automáticamente a HTTPS. - X-Content-Type-Options
Evita que los navegadores adivinen (y potencialmente malinterpreten) los tipos de archivo. Ayuda a evitar algunos tipos de inyección de scripts. - Política de referencia
Controla cuántos datos de referencia se envían cuando los usuarios hacen clic en enlaces de tu sitio. Ayuda a proteger la privacidad. - Política de permisos
Te permite desactivar determinadas funciones del navegador (como la geolocalización o el acceso a la cámara) en tu sitio web si no son necesarias.
Por qué debe importar a los empresarios
La mayoría de las brechas de seguridad no implican que alguien las "piratee". Se basan en pequeñas lagunas: lugares en los que un navegador hace más de lo que debería. Las cabeceras de seguridad cierran esas brechas.
He aquí cómo ayudan a tu empresa:
- Protege a tus visitantes de ataques basados en scripts y robo de datos
- Reduce el riesgo de daños en el SEO de ser marcado como inseguro
- Menor riesgo de cumplimiento si manejas datos personales o de clientes
- Generar confianza manteniendo la seguridad de los usuarios sin interrumpir su experiencia
Son especialmente importantes si
- Recoges datos de formularios o datos de pago
- Incrustas scripts de terceros (como herramientas de chat, anuncios, análisis)
- Gestionas portales de acceso o áreas de afiliación
- Quieres superar auditorías de seguridad o reforzar tu postura general
Cómo añadirlos
- Alojamiento web o CDN - Muchos proveedores te permiten configurar las cabeceras de seguridad en tu panel de control.
- Plugins de seguridad de WordPress - Herramientas como iThemes Security, Wordfence o HTTP Headers te lo ponen fácil.
- .htaccess o configuración del servidor - Si te sientes cómodo editando archivos del servidor, puedes añadir cabeceras manualmente.
Conclusión
Cabeceras de seguridad son una de las victorias más fáciles en seguridad de sitios web: silenciosas, rápidas e increíblemente eficaces. No solucionan todos los problemas, pero hacen mucho más difícil que los atacantes entren -o que tus usuarios se vean sorprendidos-. Si te preocupa la seguridad de tu sitio web (y la de tu audiencia), éstas deberían estar en tu radar.
