Implementar encabezados HTTP apropiados es una práctica esencial para reforzar la seguridad de una aplicación web. Los encabezados HTTP pueden proteger contra una variedad de ataques, como la inyección de código, el clickjacking y la manipulación de contenido. A continuación, se detallan algunos de los encabezados más importantes y cómo configurarlos adecuadamente, junto con ejemplos y las fuentes utilizadas para construir esta respuesta.
1. Content Security Policy (CSP) – Política de Seguridad de Contenido: La CSP es un encabezado que ayuda a prevenir ataques como XSS (Cross-Site Scripting) y la carga de recursos no deseados. Este encabezado permite a los administradores web especificar qué recursos son confiables.
```http Content-Security-Policy: default-src ‘self’; script-src ‘self’ https://trustedscripts.example.com; object-src ‘none‘ ``` En este ejemplo: – `default-src ‘self’` significa que solo se permiten recursos de la misma origen. – `script-src` especifica que solo se permitirán scripts desde la misma origen y desde `https://trustedscripts.example.com`. – `object-src ‘none’` bloquea la carga de cualquier objeto, como Flash o Java, que pueda ser usado maliciosamente. Fuente: [Mozilla Developer Network: Content Security Policy (CSP)](https://developer.mozilla.org/es/docs/Web/HTTP/CSP)2. X-Frame-Options: Este encabezado protege contra ataques de clickjacking, evitando que una página web se incruste en un marco de otra página.
```http X-Frame-Options: DENY ``` En este ejemplo: – `DENY` indica que la página no debe mostrarse en un marco ni un iframe, sin importar de dónde provenga la petición. Alternativamente, se puede usar `SAMEORIGIN` para permitir que la página se cargue solo en marcos del mismo origen: ```http X-Frame-Options: SAMEORIGIN ``` Fuente: [OWASP: X-Frame-Options](https://owasp.org/www-project-secure-headers/#x-frame-options)3. X-Content-Type-Options: Previene que los navegadores interpreten los archivos de un tipo incorrecto, lo cual puede ser explotado para ejecutar scripts maliciosos.
```http X-Content-Type-Options: nosniff ``` En este ejemplo: – `nosniff` impide que el navegador adivine el tipo de contenido. Fuente: [Microsoft: Prevent MIME Sniffing](https://msdn.microsoft.com/library/gg622941.aspx)4. Strict-Transport-Security (HSTS): Este encabezado obliga a los navegadores a usar conexiones HTTPS seguras y previene ataques de degradación a HTTP.
```http Strict-Transport-Security: max-age=31536000; includeSubDomains ``` En este ejemplo: – `max-age=31536000` indica que el navegador debe recordar usar HTTPS durante un año (31536000 segundos). – `includeSubDomains` asegura que esta política se aplique también a todos los subdominios. Fuente: [Mozilla Developer Network: HTTP Strict Transport Security (HSTS)](https://developer.mozilla.org/es/docs/Web/HTTP/Headers/Strict-Transport-Security)5. Referrer-Policy: Controla la información que se envía en el encabezado Referer cuando se navega desde un enlace de una página a otra.
```http Referrer-Policy: no-referrer ``` En este ejemplo: – `no-referrer` evita que se envíe información del referer en las solicitudes. Fuente: [Mozilla Developer Network: Referrer-Policy](https://developer.mozilla.org/es/docs/Web/HTTP/Headers/Referrer-Policy)Implementar estos encabezados correctamente requiere entender el contexto de la aplicación y sus necesidades específicas. Proporcionan una capa adicional de seguridad que, si bien no es infalible por sí sola, complementa otras prácticas de seguridad en una arquitectura de defensa en profundidad.
Fuentes:
1. [Mozilla Developer Network: Content Security Policy (CSP)](https://developer.mozilla.org/es/docs/Web/HTTP/CSP)
2. [OWASP: X-Frame-Options](https://owasp.org/www-project-secure-headers/#x-frame-options)
3. [Microsoft: Prevent MIME Sniffing](https://msdn.microsoft.com/library/gg622941.aspx)
4. [Mozilla Developer Network: HTTP Strict Transport Security (HSTS)](https://developer.mozilla.org/es/docs/Web/HTTP/Headers/Strict-Transport-Security)
5. [Mozilla Developer Network: Referrer-Policy](https://developer.mozilla.org/es/docs/Web/HTTP/Headers/Referrer-Policy)
