Ajustes de seguridad que tu sitio envía a los navegadores

Cada vez que un navegador carga tu página, tu sitio envía junto con ella algunas instrucciones. Son invisibles para los visitantes, pero los navegadores las siguen. Algunas de ellas dificultan mucho los ataques.

Los ajustes que importan

• Content Security Policy indica de dónde se pueden cargar los scripts. Si un atacante consigue colar un script en tu página, el navegador se niega a ejecutarlo.
• La protección de marcos impide que otros sitios muestren tus páginas dentro de las suyas, un truco que se usa para que la gente pulse botones que no ve.
• La protección del tipo de contenido impide que el navegador adivine qué es un archivo, lo que podría convertir una imagen subida en un script.
• La política de referente controla cuánta parte de la dirección de tu página se comparte con otros sitios cuando alguien pulsa un enlace.
• Las marcas de las cookies mantienen las cookies de inicio de sesión fuera del alcance de los scripts y lejos de las conexiones sin cifrar.

Por qué suelen faltar

Ninguno de ellos viene activado por defecto. Los frameworks y los alojamientos te dejan la tarea, y un sitio funciona bien sin ellos, así que nadie lo nota hasta que algo sale mal.

La mayoría se pueden añadir en un solo lugar, el archivo de configuración de tu alojamiento o framework. Content Security Policy requiere más cuidado, porque una política estricta puede bloquear scripts que tu sitio necesita, así que suele añadirse por pasos.

Un escaneo lee los ajustes que tu sitio envía realmente y dice cuáles faltan o son demasiado laxos.