Cabeceras HTTP de una URL

Qué muestra NetCheck

NetCheck envía una petición a la dirección indicada desde sus propios servidores, sigue las redirecciones una a una y muestra, para la respuesta final:

• el código de estado y el número de redirecciones seguidas;
• el servidor declarado y el tiempo de respuesta;
• un resumen de las cabeceras de seguridad presentes o ausentes;
• la lista completa de cabeceras, para un análisis detallado.

Los códigos de estado que conviene conocer

Las cabeceras de seguridad

• Strict-Transport-Security (HSTS) obliga al navegador a usar solo HTTPS en ese dominio durante un tiempo, lo que frustra los ataques que intentan volver a HTTP. Valor habitual: max-age=31536000; includeSubDomains.
• Content-Security-Policy (CSP) enumera las fuentes permitidas para scripts, estilos, imágenes y marcos. Es la mejor defensa contra la inyección de scripts (XSS), y la más delicada de ajustar: una política demasiado estricta rompe el sitio.
• X-Frame-Options, o la directiva frame-ancestors de la CSP, impide insertar la página en un marco de otro sitio, lo que bloquea el clickjacking.
• X-Content-Type-Options: nosniff impide que el navegador adivine el tipo de un archivo, una vía clásica para ejecutar contenido malicioso.
• Referrer-Policy limita qué parte de su dirección transmite la página a los sitios a los que enlaza.
• Permissions-Policy desactiva las funciones sensibles que el sitio no necesita: cámara, micrófono, geolocalización.

Que falte una de estas cabeceras no es una vulnerabilidad en sí, pero cada una cierra toda una familia de ataques con un coste casi nulo.

Redirecciones y posicionamiento

Cada redirección añade un viaje de ida y vuelta por la red y diluye un poco la señal enviada a los buscadores. Procura que haya como mucho una redirección entre la dirección escrita y la página final. Una cadena típica que corregir: http://ejemplo.es, luego https://ejemplo.es, luego https://www.ejemplo.es y luego https://www.ejemplo.es/inicio. Es mejor redirigir la primera dirección directamente a la última.

La caché

• Cache-Control indica quién puede guardar la respuesta y durante cuánto tiempo. no-store prohíbe todo almacenamiento; max-age=3600 permite una hora.
• ETag y Last-Modified permiten al navegador volver a pedir la página solo si ha cambiado, lo que produce una respuesta 304 muy ligera.
• Age, añadida por las CDN, indica cuántos segundos lleva la respuesta en caché.

Preguntas frecuentes

¿Por qué el resultado difiere de lo que veo en mi navegador?

La petición sale de los servidores de NetCheck, no de tu ordenador. Un sitio puede responder de forma distinta según el país, el idioma, las cookies o el tipo de cliente, y algunos cortafuegos bloquean las peticiones automáticas con un 403. El resultado sigue siendo representativo de lo que ve un robot, como un buscador.

¿La cabecera «Server» es un riesgo?

Revela el software utilizado, a veces su versión, lo que ayuda a un atacante a buscar fallos conocidos. Ocultar la versión es una buena práctica, pero no una protección en sí: mantener el servidor actualizado importa mucho más.

¿Hay que usar un 301 o un 302 para pasar a HTTPS?

Un 301 (o un 308), ya que el cambio es definitivo. Añade después la cabecera HSTS para que el navegador ni siquiera intente la versión HTTP.

Mi sitio devuelve 200 pero la página está vacía o muestra un error: ¿qué pasa?

Algunas aplicaciones muestran una página de error pero devuelven un código 200. Los buscadores lo llaman «soft 404» y acaban ignorando esas páginas. Una página inexistente debe devolver un 404 de verdad.