Comprueba las cabeceras de seguridad y el HTTPS de tu web
HTTPS, cabeceras y cookies de tu portada. Gratis y sin email.
Alcance, condiciones de uso y privacidad
El resultado es una observación técnica limitada al momento y a las respuestas indicadas. No es una auditoría, una prueba de penetración ni una certificación. No demuestra que la web sea segura, que esté comprometida ni que cumpla RGPD, LSSI, ENS u otra norma. Tu proveedor debe valorar cada cambio y comprobar que no rompe el servicio. Gestiono esta web o tengo permiso y acepto las condiciones de uso. Tratamos el dominio durante la consulta y huellas temporales para prevenir abusos. El resultado no se conserva al recargar; no se vuelve a consultar automáticamente.
Cómo hacemos la comprobación
Lectura pública de baja intensidad: tu portada (con y sin HTTPS), su conexión cifrada y, cuando procede, el archivo security.txt, donde una web indica a quién avisar de un fallo de seguridad. No ejecutamos JavaScript ni cargamos imágenes de la web. No probamos vulnerabilidades, formularios ni accesos, y solo usamos los puertos web habituales.
Como máximo, 40 operaciones de red y 10 segundos por análisis. Los límites, bloqueos o respuestas incompletas se muestran como cobertura pendiente, nunca como prueba de seguridad.
Qué comprobamos
Los hallazgos se agrupan en cuatro bloques. Cada uno dice qué hemos observado, por qué importa y qué pedir a quien mantiene tu web.
- Conexión. Si la portada responde por HTTPS con un certificado válido para tu dominio y en fecha, si caduca pronto, si el servidor acepta versiones antiguas del cifrado de la conexión (TLS), si la versión HTTP redirige a HTTPS y si publica HSTS.
- Protecciones del navegador. Las cabeceras de seguridad (security headers) que limitan lo que el navegador permite en tu página: Content-Security-Policy, protección frente a marcos (frame-ancestors o X-Frame-Options), X-Content-Type-Options, Referrer-Policy y Permissions-Policy.
- Cookies observadas. Los atributos Secure, HttpOnly y SameSite y los prefijos de las cookies que la portada envía en sus cabeceras, sin mostrar sus valores.
- Información pública. Si publicas un archivo security.txt para que te avisen de vulnerabilidades y si las cabeceras o el código de la portada revelan el software y su versión.
Qué hacer con el resultado
Empieza por las acciones prioritarias, como máximo tres: están ordenadas por importancia y van dirigidas a tu proveedor web o a tu equipo de TI. Si algo sale como «Sin datos», no lo des por bueno ni por malo: repite la comprobación más tarde o pide a tu proveedor que lo revise. Tras cambiar la configuración, vuelve a comprobar la portada.
Para quién es
Para quien tiene una web de empresa y quiere saber, sin conocimientos técnicos, qué revisar con su proveedor o su equipo de TI. El resultado se puede copiar como instrucciones para TI. No sustituye una auditoría ni un pentest: no busca vulnerabilidades ni revisa otras páginas de tu sitio.
Preguntas frecuentes
¿Qué son las cabeceras de seguridad HTTP?
Instrucciones que el servidor envía al navegador con cada página para limitar lo que puede hacer con ella: Content-Security-Policy (de dónde puede cargar scripts y otros recursos), Strict-Transport-Security (usar siempre HTTPS), la protección frente a marcos, X-Content-Type-Options, Referrer-Policy y Permissions-Policy. En inglés se llaman security headers.
¿Qué tienen de malo las cabeceras mal configuradas?
Si faltan o están mal puestas, el navegador permite cosas que facilitan ataques: que otra web cargue la tuya en un marco para engañar a quien la usa, que se ejecute código inyectado o que la conexión pueda acabar en HTTP sin cifrar. Una cabecera demasiado estricta también puede romper partes de la web: prueba cada cambio antes de publicarlo.
¿Cómo comprobar si mi web es segura?
Este comprobador mira una parte: el HTTPS y el certificado, las cabeceras de seguridad, las cookies de la portada y lo que revela en público. Para saber si una web es segura hay que revisar además su software, sus formularios y sus accesos, que es lo que hacen una auditoría o un pentest.
¿Es una auditoría, un escáner de vulnerabilidades o un pentest?
No. Es una lectura limitada de la portada y las rutas estándar indicadas en un momento concreto. No busca vulnerabilidades conocidas en tu software, como un escáner, ni intenta aprovecharlas, como un pentest.
¿Qué cookies podéis ver?
Solo las enviadas en las cabeceras Set-Cookie de las respuestas leídas, incluidos los saltos observados. No mostramos sus valores ni vemos las que aparecerían al ejecutar la página.
¿Guardáis el dominio?
La comprobación no guarda el dominio ni el resultado en nuestra base; solo los usamos durante la consulta, con huellas temporales para limitar abusos. Si pides el informe, guardamos el dominio y el resultado de una nueva comprobación, vinculados a tu correo, para enviártelo y darte acceso a él. Al pasar a Evalúa, el dominio puede conservarse en tu navegador un máximo de dos horas y para un solo uso.
¿Por qué sale Sin datos?
Ese control no se ha podido leer o interpretar con suficiente certeza. Por sí solo no indica que la web falle.
¿Qué significa el verde?
Las comprobaciones principales de esta portada no han mostrado incidencias. Consulta también las mejoras secundarias y los límites de cobertura. No cubre el resto del sitio ni acredita cumplimiento legal.