Comprobación de cabeceras de seguridad

Qué cabeceras importan

Strict-Transport-Security (HSTS): los navegadores solo usan HTTPS para tu sitio, aunque alguien escriba http://.

Content-Security-Policy (CSP): qué scripts, estilos y frames puede cargar la página. La mejor defensa contra el cross-site scripting.

X-Frame-Options o CSP frame-ancestors: impide que otros sitios muestren el tuyo en un frame oculto (clickjacking).

X-Content-Type-Options: nosniff, para que los navegadores no adivinen los tipos de archivo.

Referrer-Policy y Permissions-Policy: qué comparte tu sitio con otros sitios y qué funciones del navegador puede usar.

Ejemplo para nginx

Añade estas líneas al bloque server de tu sitio y recarga nginx. Construye la Content-Security-Policy paso a paso, porque una política demasiado estricta puede romper scripts.

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

add_header X-Content-Type-Options "nosniff" always;

add_header X-Frame-Options "SAMEORIGIN" always;

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Apache, IIS, Cloudflare y paneles de hosting

Apache usa «Header always set» en .htaccess o en el virtual host, IIS usa customHeaders en web.config y Cloudflare usa Transform Rules. Si tienes hosting gestionado, envía el enlace del informe a tu proveedor: cada hallazgo indica la cabecera exacta.