Qué son las cabeceras de seguridad
Las cabeceras de seguridad son instrucciones que tu servidor envía junto con cada página para decirle al navegador cómo comportarse de forma más segura, como evitar que tu web se cargue dentro de otra sin permiso. También se conocen como «security headers» o «HTTP security headers».
Es como las instrucciones que acompañan a un paquete delicado: «no apilar», «mantener en posición vertical», que no cambian lo que hay dentro, pero le indican a quien lo transporta cómo manejarlo de forma segura. Las cabeceras de seguridad viajan de forma invisible junto con cada página de tu web, indicándole al navegador reglas concretas, como no permitir que tu web se muestre dentro de un marco en otra página (evitando cierto tipo de trampas), o no cargar recursos de orígenes no autorizados, reforzando la seguridad sin que el visitante note nada distinto.
Cómo funciona
- El servidor se configura para añadir ciertas cabeceras de seguridad a cada respuesta que envía.
- Cuando un navegador carga una página de tu web, recibe esas cabeceras junto con el contenido normal.
- El navegador aplica las reglas indicadas por esas cabeceras, por ejemplo bloqueando que tu web se cargue dentro de un marco ajeno, o restringiendo desde dónde se pueden cargar scripts.
- Esto añade una capa de protección frente a ciertos tipos de ataque que aprovechan comportamientos por defecto del navegador.
- Las cabeceras se pueden ajustar según las necesidades concretas de tu web, sin afectar a su funcionamiento normal si se configuran bien.
Ejemplo
Una agencia de marketing digital con web propia en Cambrils nunca había revisado las cabeceras de seguridad de su servidor, algo que detectamos al hacer una auditoría de seguridad completa. Configuramos las cabeceras recomendadas para WordPress, incluyendo protección frente a que la web se cargara dentro de otra página sin permiso y restricciones sobre desde dónde se podían cargar scripts externos, cerrando varios puntos de riesgo sin que la web cambiara en nada visible para sus clientes.
Señales de que te afecta
- Un análisis de seguridad señala la ausencia de cabeceras de seguridad recomendadas en tu web.
- Nunca has revisado específicamente este aspecto de tu configuración de servidor.
- Gestionas datos sensibles de clientes (pagos, datos personales) y quieres reforzar cada capa de seguridad posible.
- Has sufrido algún incidente de seguridad relacionado con scripts cargados desde orígenes no esperados.
Cómo lo resolvemos
Configuramos las cabeceras de seguridad recomendadas para tu WordPress, ajustadas a las necesidades concretas de tu web para no romper ninguna función legítima, y comprobamos que se aplican correctamente en cada página. Si quieres que revisemos esto en tu web, en nuestro servicio de seguridad WordPress nos encargamos de ello. Las cabeceras de seguridad forman parte de cualquier proceso completo de hardening, y se complementan bien con un WAF.
Preguntas frecuentes
¿Configurar cabeceras de seguridad puede romper mi web?
Si se configuran sin cuidado, alguna cabecera demasiado restrictiva puede bloquear recursos legítimos (como un script externo que sí necesitas), por eso conviene probar y ajustar con cuidado, no aplicar la configuración más estricta sin revisar el impacto.
¿Cómo sé si mi web ya tiene cabeceras de seguridad configuradas?
Existen herramientas online gratuitas que analizan las cabeceras de cualquier web y señalan cuáles tienes y cuáles te faltan respecto a las recomendadas.
¿Las cabeceras de seguridad sustituyen a otras medidas, como el WAF?
No, son complementarias: las cabeceras actúan a nivel de navegador, indicándole cómo comportarse, mientras que un WAF filtra el tráfico antes de que llegue siquiera a tu servidor.