Verificar cabeceras de seguridad
Prueba las cabeceras de seguridad HTTP de cualquier sitio (HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy y otras), obtén una nota de A+ a F y mira cómo corregir lo que falta.
Cómo usarNota de seguridad de las cabeceras
Disponible en: 
Verificar cabeceras de seguridad: para qué sirve
Escribe la dirección de un sitio y ve qué cabeceras de seguridad HTTP envía y cuáles faltan: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy y Cross-Origin-Opener-Policy. Cada una explica qué protege y trae el valor sugerido para copiar. La nota de A+ a F resta puntos por cabeceras que revelan la versión del servidor, como Server y X-Powered-By.
Ideal para revisar el sitio antes de una auditoría o una prueba de intrusión.
Cómo usar
- Escribe la dirección del sitio.
- Pulsa Comprobar.
- Añade en el servidor las cabeceras que faltan.
Cuándo usar
- Mejorar la nota de seguridad del sitio.
- Proteger el sitio contra clickjacking.
- Revisar la configuración tras cambiar Nginx o Cloudflare.
Preguntas frecuentes
¿Qué son las cabeceras de seguridad?
Instrucciones que el servidor envía con la página para decirle al navegador cómo protegerse: usar siempre HTTPS, no dejar que el sitio se abra dentro de otro (clickjacking), desde dónde puede cargar scripts y qué recursos, como cámara y ubicación, puede pedir la página.
¿Cómo se calcula la nota?
Cada cabecera importante vale puntos, con más peso para HSTS y Content-Security-Policy. Las cabeceras que revelan la versión del servidor o del lenguaje restan puntos. La nota va de A+ (todas presentes) a F (casi ninguna).
¿Cómo añado estas cabeceras?
En Nginx, usa add_header; en Apache, Header set en el .htaccess; en Cloudflare, las reglas de transformación de cabeceras; y en frameworks como Express o Next.js, un middleware como helmet. La herramienta muestra el valor sugerido de cada una.
¿La Content-Security-Policy puede romper mi sitio?
Puede, si es demasiado estricta y bloquea scripts que usas. Empieza con Content-Security-Policy-Report-Only para ver solo los informes y ve permitiendo los orígenes necesarios antes de activarla de verdad.
¿Es gratis de verdad?
Sí, 100% gratis. Sin registro, sin suscripción y sin límite de uso. Todas las herramientas de Tools123 son gratuitas.