La página de inicio envía menos de cuatro de las seis cabeceras de seguridad habituales que ayudan a proteger a los visitantes de conexiones interceptadas, clickjacking y scripts inyectados. La mayoría se configuran con una sola línea.
Qué significa
Las cabeceras de seguridad son instrucciones que el servidor envía con cada página para indicar al navegador qué debe permitir. No corrigen los puntos débiles del propio sitio web, pero dificultan mucho muchos ataques habituales.
Las seis que se puntúan son Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (o frame-ancestors de CSP), Referrer-Policy y Permissions-Policy.
Qué lo activa
Una vez por semana, la comprobación Cabeceras de seguridad carga la página de inicio por HTTPS y cuenta cuántas de las seis envía: las seis son una A, cinco una B, cuatro una C, tres una D, dos una E y menos una F. Con una D o inferior se genera este problema de prioridad media, titulado con la nota y con la lista de las cabeceras que faltan. Aparece en la aplicación y no se envía por correo.
La falta de la cabecera HSTS también se informa por separado. Consulta Sin cabecera HSTS.
Causas habituales
- La mayoría de los servidores web y planes de hosting no envían ninguna de estas cabeceras por defecto.
- Las cabeceras están configuradas para algunas carpetas o servidores, pero no para la página de inicio.
Cómo solucionarlo
- Añade primero las sencillas, que rara vez rompen algo: X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin y una Permissions-Policy como camera=(), microphone=(), geolocation=().
- Configúralas en tu servidor web, tu CDN, el panel de control de tu hosting o un plugin de seguridad para tu CMS.
- Añade Content-Security-Policy al final, después de probarla con Content-Security-Policy-Report-Only, porque una política estricta puede bloquear tus propios scripts, fuentes o seguimiento.
Cuándo se resuelve
El problema desaparece en la siguiente comprobación semanal que encuentre al menos cuatro de las seis cabeceras (nota C o superior), y su acción desaparece del plan de acción 7 días después.
Si marcas la acción como hecha y el problema se sigue detectando 14 días después, vuelve como «La corrección no funcionó». Consulta Usar el plan de acción.