Descubre qué cabeceras de seguridad HTTP envía tu web, cómo están configuradas y cuáles faltan. Cada cabecera ausente o débil incluye la línea que debes añadir a tu servidor.
La CSP es la principal defensa contra el cross-site scripting. La herramienta verifica que existe una política y señala directivas débiles: unsafe-inline, unsafe-eval, comodines y falta de default-src.
Estas cabeceras imponen HTTPS, bloquean el clickjacking y evitan el sniffing de tipo MIME. El análisis comprueba que cada una está presente y bien configurada.
WebGuard AI revisa también Referrer-Policy, Permissions-Policy y las cabeceras COOP, COEP y CORP, y avisa cuando Server o X-Powered-By revelan versiones de software.
Como mínimo: Content-Security-Policy, Strict-Transport-Security, X-Frame-Options (o frame-ancestors en la CSP), X-Content-Type-Options: nosniff, Referrer-Policy y Permissions-Policy.
En tu servidor web (add_header en nginx, Header set en Apache, customHeaders en IIS), en tu CDN o en tu aplicación. El informe da la línea exacta de cada cabecera que falta.
Cada cabecera pesa según su impacto (CSP y HSTS son las que más). Se restan puntos por configuraciones débiles, como unsafe-inline en la CSP o un max-age de HSTS corto.