Las cabeceras HTTP de seguridad permiten al servidor indicar al navegador cómo tratar el transporte, los tipos MIME, el referrer, los permisos, el aislamiento y la incrustación. Lo importante no es el archivo de configuración, sino la cabecera que realmente llega en la respuesta HTTP.
GuíaBuenas prácticasPrincipiante
Cabeceras HTTP de seguridad: cuáles activar y por qué
Comprende HSTS, CSP, X-Content-Type-Options, Referrer-Policy y Permissions-Policy y cómo verificar las cabeceras realmente enviadas.
Mostrar el índice
HSTS y HTTPS
Strict-Transport-Security pide al navegador que use únicamente HTTPS durante un periodo. Activa HSTS solo cuando HTTPS funcione correctamente en todos los hosts afectados. Para solicitar preload existen requisitos adicionales, entre ellos includeSubDomains y un max-age mínimo de un año.
Evita el MIME sniffing
X-Content-Type-Options: nosniff impide que el navegador reinterprete determinados contenidos con un tipo distinto del declarado. Sigue siendo necesario enviar valores Content-Type correctos.
Limita la información del referrer
Referrer-Policy controla cuánta información de la URL se comparte al navegar o cargar recursos. Una política adecuada reduce filtraciones innecesarias sin eliminar por completo información útil del origen.
Restringe capacidades del navegador
Permissions-Policy permite limitar funciones como cámara, micrófono o geolocalización. Concede solo lo que la aplicación necesite. COOP, COEP y CORP pueden ayudar además a aislar documentos y recursos.
CSP forma parte de la misma revisión
Content Security Policy también es una cabecera de seguridad, pero merece su propia guía de CSP. Evita confiar en cabeceras obsoletas como si fueran una protección universal.
Utiliza el generador de cabeceras de seguridad para preparar una base y comprueba después la respuesta real en producción.