El sitio web no envía la cabecera HSTS, que indica a los navegadores que usen siempre HTTPS con él. Sin ella, la primera solicitud de un visitante puede hacerse por HTTP simple, donde podría interceptarse, por ejemplo en una wifi pública.
Qué significa
HSTS (HTTP Strict Transport Security) es una cabecera de respuesta como Strict-Transport-Security: max-age=31536000. Cuando un navegador la ha visto, usa HTTPS para el sitio web durante ese número de segundos, incluso cuando alguien escribe una dirección http:// o hace clic en ella.
Qué lo activa
Una vez por semana, la comprobación Cabeceras de seguridad carga la página de inicio por HTTPS. Si no tiene una cabecera Strict-Transport-Security con un max-age superior a cero, se genera este problema de prioridad media. Aparece en la aplicación y no se envía por correo.
HSTS es también una de las seis cabeceras de la nota de cabeceras de seguridad. Consulta Cabeceras de seguridad débiles.
Causas habituales
- El servidor web, el plan de hosting o la CDN no la envía por defecto.
- Se quedó fuera cuando el sitio web pasó a HTTPS y nunca se añadió.
- Se envía con max-age=0, lo que desactiva HSTS.
Cómo solucionarlo
- Asegúrate de que todo el sitio web funciona con HTTPS y de que el HTTP simple redirige a él. Consulta HTTPS mal configurado.
- Añade Strict-Transport-Security: max-age=31536000 en la configuración de tu servidor web, CDN o hosting. En Cloudflare, por ejemplo, está en SSL/TLS → Edge Certificates.
- Añade includeSubDomains o preload solo cuando todos los subdominios funcionen con HTTPS, porque entonces los navegadores también rechazarán el HTTP simple para ellos, y la precarga es difícil de deshacer.
Cuándo se resuelve
La comprobación se ejecuta cada semana, así que el problema desaparece en la siguiente comprobación semanal que ya no lo detecte, y su acción desaparece del plan de acción 7 días después.
Si marcas la acción como hecha y el problema se sigue detectando 14 días después, vuelve como «La corrección no funcionó». Consulta Usar el plan de acción.