Comprobaciones / Enlaces, canonical y velocidad

Faltan cabeceras de seguridad

Content-Security-Policy, X-Content-Type-Options, X-Frame-Options y Referrer-Policy protegen a los visitantes de scripts inyectados, clickjacking y filtraciones de URL.

security_headers_missing · Enlaces, canonical y velocidad · Aviso

Qué la activa

A la respuesta de tu página de inicio le falta al menos una de estas cabeceras: Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (no cuenta si la Content-Security-Policy tiene frame-ancestors) y Referrer-Policy.

Qué cambiar

Añade las cabeceras del cuadro de solución a la configuración de tu servidor o CDN.

Ejemplo

Cabeceras de respuesta que añadir en tu servidor o CDN:

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: frame-ancestors 'self'
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Cómo confirmar la corrección

1. Ejecuta curl -I https://example.com/ y comprueba que cada cabecera está en la respuesta
2. Lanza un nuevo crawl

Con qué frecuencia aparece

No hemos medido lo frecuente que es en una muestra de sitios. Las cifras aparecen aquí cuando un estudio la cubre.

Sobre esta comprobación

Ajustes por plataforma

Dónde está el ajuste en algunas plataformas, según la página de ayuda de cada una, leída el 26 de octubre de 2026. En cualquier otro servidor, aplica el recuadro de corrección de arriba.

Cloudflare

En Cloudflare: Rules Overview → Create rule → Response Header Transform Rule → Set static. (página de ayuda de Cloudflare)

Netlify

Netlify: pon esto en _headers. (página de ayuda de Netlify)

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains
  Content-Security-Policy: frame-ancestors 'self'
  X-Content-Type-Options: nosniff
  X-Frame-Options: SAMEORIGIN
  Referrer-Policy: strict-origin-when-cross-origin
  Permissions-Policy: camera=(), microphone=(), geolocation=()

Vercel

Vercel: pon esto en vercel.json. (página de ayuda de Vercel)

{
  "headers": [
    {
      "source": "/(.*)",
      "headers": [
        {
          "key": "Strict-Transport-Security",
          "value": "max-age=31536000; includeSubDomains"
        },
        {
          "key": "Content-Security-Policy",
          "value": "frame-ancestors 'self'"
        },
        {
          "key": "X-Content-Type-Options",
          "value": "nosniff"
        },
        {
          "key": "X-Frame-Options",
          "value": "SAMEORIGIN"
        },
        {
          "key": "Referrer-Policy",
          "value": "strict-origin-when-cross-origin"
        },
        {
          "key": "Permissions-Policy",
          "value": "camera=(), microphone=(), geolocation=()"
        }
      ]
    }
  ]
}

Comprobaciones relacionadas

• Una página pública no se puede cachear
• Scripts y estilos que bloquean el renderizado
• La versión del servidor es pública
• El sitemap no tiene fechas de modificación útiles

Cómo funciona una auditoría: método