EnglishGenerador de cabeceras de seguridad
Marca las cabeceras, indica los dominios externos que usa el sitio (fuentes, analytics, videos) y copia la configuración de tu servidor.
Cabeceras de seguridad del sitio
Todo se hace en tu dispositivo: nada se envía a internet.
Disponible en: 
Generador de cabeceras de seguridad: para qué sirve
Marca las cabeceras e indica los dominios externos que usa el sitio para scripts, estilos, fuentes, imágenes, conexiones e iframes. La herramienta arma la Content-Security-Policy con 'self', frame-ancestors, base-uri, form-action y object-src 'none', con la opción de modo solo informe para probar antes de bloquear.
La configuración sale lista para Nginx (add_header always), Apache (.htaccess), el archivo _headers de Netlify y Cloudflare Pages, o vercel.json.
Cómo usar
- Elige el servidor y marca las cabeceras.
- Indica los dominios externos que usa el sitio.
- Copia la configuración y pruébala con la consola del navegador abierta.
Cuándo usar
- Aumentar la seguridad de sitios estáticos.
- Proteger el sitio contra clickjacking.
- Preparar la CSP de un sitio antes de activar el bloqueo.
Preguntas frecuentes
¿Para qué sirven estas cabeceras?
Le dicen al navegador cómo debe protegerse: usar solo HTTPS (HSTS), no adivinar el tipo de archivo (nosniff), evitar que el sitio se abra dentro de otro sitio (contra clickjacking), limitar lo que se envía en el Referer y bloquear cámara, micrófono y ubicación que el sitio no usa.
¿La Content-Security-Policy puede romper el sitio?
Puede pasar si falta algún dominio que usa el sitio (Google Fonts, Analytics, YouTube, CDN). Empieza con el modo solo informe (Report-Only), abre el sitio con la consola del navegador abierta, agrega los dominios que aparezcan bloqueados y solo después cambia al modo que bloquea.
¿Hay que tener cuidado con HSTS?
Sí: una vez que el navegador recibe HSTS, solo accede al dominio por HTTPS durante el tiempo del max-age. Actívalo solo cuando HTTPS funcione en todo el dominio, y marca subdominios solo si todos tienen HTTPS.
¿Cómo comprobar si funcionó?
Abre el sitio, ve a Herramientas del desarrollador, pestaña Red, haz clic en la página y mira las cabeceras de la respuesta. También hay verificadores online de cabeceras de seguridad.
¿Es gratis de verdad?
Sí, 100% gratis. Sin registro, sin suscripción y sin límite de uso. Todas las herramientas de Tools123 son gratuitas y funcionan directo en tu navegador.