Comprobador de cabeceras de seguridad
Escribe la dirección de una web para ver qué cabeceras de seguridad HTTP envía, qué versión de TLS usa, cuándo caduca su certificado y si muestra la versión del software del servidor. Cada punto incluye qué hace y cómo corregirlo.
Solo comprueba cabeceras públicas con una petición normal; no es una auditoría ni un escaneo.
Cómo se calcula la nota
La nota sale de 100 puntos repartidos así:
| Comprobación | Puntos |
|---|---|
| La web usa HTTPS | 15 |
| Strict-Transport-Security con max-age de 6 meses o más (8 si es menor) | 15 |
| Content-Security-Policy presente | 20 |
| X-Frame-Options (DENY o SAMEORIGIN) o frame-ancestors en la CSP | 10 |
| X-Content-Type-Options: nosniff | 10 |
| Referrer-Policy presente | 10 |
| Permissions-Policy presente | 5 |
| No se expone la versión del software (Server sin versión, sin X-Powered-By) | 15 |
A: 90 o más · B: 75 o más · C: 60 o más · D: 45 o más · E: 30 o más · F: menos de 30. Si la web no usa HTTPS o el certificado no es válido, la nota es F.
La herramienta hace una única petición GET, como un navegador, y no lee el contenido de la página. Solo comprueba direcciones públicas en los puertos 80 y 443 y sigue como mucho 3 redirecciones. Las direcciones que se comprueban no se guardan.
¿Quieres una revisión completa?
Las cabeceras son solo una parte. Una auditoría de seguridad web revisa también versiones expuestas, puertos abiertos, formularios y paneles de administración, siempre con autorización por escrito, y termina con un informe de cada hallazgo y su corrección. Puedes pedirla desde el formulario de presupuesto.