Escáner de cabeceras HTTP
Introduzca una dirección web. Nuestro servidor consulta la página una vez y su navegador califica sus cabeceras de seguridad, cookies y configuración TLS, con una corrección para cada hallazgo.
Nuestro servidor solicita una vez la dirección que introduzca y devuelve sus cabeceras y los datos del certificado. No se guarda nada.
Cómo funciona el análisis
Nuestro servidor solicita la dirección una vez, como lo haría un navegador, y sigue hasta cinco redirecciones. Solo comprueba sitios web públicos en los puertos estándar y rechaza las direcciones privadas, locales y reservadas, también las que se alcanzan mediante una redirección. Devuelve las cabeceras de respuesta y los datos TLS; la calificación la hace su navegador.
La nota abarca Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, la protección contra el enmarcado, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy y la redirección de http a https. También señala los números de versión en las cabeceras, las cookies sin Secure, las cabeceras obsoletas, las versiones antiguas de TLS y los problemas del certificado.
Cómo se calcula la nota
Las comprobaciones suman 100 puntos en total, con penalizaciones por fugas de información, cookies inseguras y debilidades del certificado o de TLS. Con 85 puntos o más se obtiene una A; la A+ exige además HSTS con includeSubDomains, una CSP sin debilidades y ningún aviso. Sin HTTPS, o con un certificado que los navegadores rechazan, la nota es F. El desglose bajo cada resultado muestra de dónde sale cada punto.
Preguntas
¿Qué hace su servidor con la dirección que introduzco?
Solicita la página una vez, lee las cabeceras de respuesta y el certificado, y los devuelve a su navegador. No se guarda nada, y el escáner se identifica como AngelForceScanner en la cabecera User-Agent.
¿Puedo analizar un sitio interno o de preproducción?
Solo si es accesible desde internet en los puertos estándar. El escáner rechaza las direcciones privadas, locales y reservadas para que no pueda usarse para sondear redes internas.
¿Por qué está limitado el número de análisis?
Cada análisis hace peticiones reales al sitio de destino, así que permitimos seis análisis cada diez minutos por conexión para que el servicio sea equitativo y evitar abusos.
¿Por qué otro escáner da una nota distinta?
Cada escáner pondera las cabeceras de forma diferente. Los hallazgos y el desglose de la puntuación muestran exactamente qué hemos comprobado, y eso importa más que la letra.
¿Necesita más de lo que puede mostrar una herramienta?
Una herramienta comprueba una sola cosa. Nuestros consultores ven el conjunto.
Pruebas de penetraciónArtículos relacionados
-
Lista práctica de comprobación de seguridad para WordPress
Doce pasos de bastionado de WordPress en un orden lógico: desde actualizaciones y plugins abandonados hasta 2FA, XML-RPC, copias, integridad y WAF.
-
Las cabeceras de seguridad que importan y las que conviene retirar
Guía práctica de CSP con nonces, HSTS y preload, frame-ancestors, Referrer-Policy, Permissions-Policy y COOP, con ejemplos y qué cabeceras eliminar.
-
Cómo diseñar y probar cargas de archivos seguras
Lista de controles para funciones de carga de archivos, basada en la hoja de referencia de OWASP, con una tabla de pruebas para cada endpoint de carga.