Security Headers: comprueba la protección de tu web
Te dice en segundos si tu web tiene puesta la protección básica que los navegadores esperan, con una nota de A+ a F.
Ficha
- Qué es
- Herramienta online
- Para qué sirve
- Te dice en segundos si tu web tiene puesta la protección básica que los navegadores esperan, con una nota de A+ a F.
- Quién la publica
- Snyk (la creó Scott Helme)
- Funciona en
- Online, cualquier navegador
- Precio
- Gratis y sin registro
- Idioma
- Inglés
- Qué datos le das
- Solo la dirección de tu web. Si no marcas «Hide results», el resultado sale en las listas públicas de la portada.
- Nivel
- Para cualquiera
- Probada por mí
- 25 de octubre de 2026
Esta herramienta es de Snyk (la creó Scott Helme), no mía. La recomiendo porque la uso y la he probado; no tengo ningún acuerdo con ellos ni cobro nada por recomendarla.
Para qué sirve
Cuando un navegador abre tu web, el servidor le manda unas instrucciones invisibles que se llaman cabeceras. Algunas son de seguridad: le dicen al navegador que solo use conexión cifrada, que no deje meter tu web dentro de otra para engañar a alguien, o de qué sitios puede cargar código.
Security Headers mira cuáles de esas instrucciones envía tu web y te pone una nota. Es la forma más rápida de saber si quien te hizo la web cuidó lo básico.
Cómo se usa
- Entra en la herramienta y escribe la dirección completa de tu web, con el «https://» delante.
- Si no quieres que el resultado salga en la portada pública, marca Hide results.
- Deja marcada la opción de seguir redirecciones, para que analice la página final y no la redirección.
- Pulsa el botón de escanear y espera unos segundos.
Cómo leer el resultado
La nota va de A+ a F. Debajo tienes la lista de cabeceras: en verde las que están y en rojo las que faltan, cada una con una frase de qué hace.
- A o A+: está todo lo importante. No hay que hacer nada.
- B o C: falta alguna. Lo más importante es Strict-Transport-Security (obliga a usar siempre la conexión cifrada) y Content-Security-Policy (limita de dónde se puede cargar código).
- D a F: no se ha cuidado. No significa que te hayan hackeado, pero sí que la web no tiene puestas protecciones que cuestan poco.
- R: solo indica que la dirección redirige a otra. Vuelve a analizar la dirección final.
Mide la configuración, no si la web tiene un virus o un fallo en su código. Una web con A+ puede estar desactualizada por dentro, y una con F puede no tener ningún problema grave. Es un buen termómetro, no un diagnóstico completo.
Lo que conviene saber
Las cabeceras se arreglan en el servidor, normalmente en el fichero «.htaccess» o en el panel del alojamiento, no dentro de WordPress. Una Content-Security-Policy mal puesta puede romper partes de la web, así que conviene probarla antes de dejarla fija.
Esta misma web saca A+. Si quieres que la tuya también, es parte del mantenimiento web.
Alternativas
- Mozilla HTTP Observatory · Más detallada y también gratuita.
- Internet.nl · Revisa web, correo y conexión de una vez; la mantiene la administración holandesa.
¿No te aclaras o te sale algo raro?
Mándame lo que te ha salido y te digo qué significa y si hay que hacer algo. Si hay que arreglarlo, te digo cuánto cuesta antes de tocar nada.
Fuentes
- Security Headers, página «About». De ahí salen qué mide y quién la mantiene. Consultado el 27 de octubre de 2026.
- Scott Helme, lanzamiento de la herramienta. Origen del proyecto. Consultado el 27 de octubre de 2026.