Implementación de cabeceras HTTP de seguridad para proteger el sitio

Implementación de Cabeceras HTTP de Seguridad

Las cabeceras HTTP de seguridad son fundamentales para proteger un sitio web contra ataques maliciosos y mejorar la confianza del usuario. A continuación, se presentan las principales cabeceras de seguridad y cómo implementarlas.

Principales Cabeceras de Seguridad

Strict-Transport-Security (HSTS): Obliga a los navegadores a usar conexiones HTTPS seguras, evitando el acceso a través de HTTP.
Content-Security-Policy (CSP): Controla qué scripts y recursos pueden cargarse en tu sitio, previniendo ataques XSS.
X-Frame-Options: Evita que tu sitio sea embebido en un iframe, protegiéndote de ataques de clickjacking.
X-Content-Type-Options: Bloquea la ejecución de archivos con tipos MIME sospechosos.
Referrer-Policy: Controla qué información del usuario se comparte con otros sitios.
Permissions-Policy: Restringe el acceso a APIs del navegador como la cámara o el micrófono.

Implementación en Servidores Web

Para Apache

Puedes implementar estas cabeceras en el archivo de configuración del servidor Apache:

<IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
    Header set Content-Security-Policy "default-src 'self'"
    Header set X-Content-Type-Options "nosniff"
    Header set X-Frame-Options "DENY"
</IfModule>

Para Nginx

En Nginx, puedes agregar las cabeceras en el bloque de configuración del servidor:

http {
    server {
        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";
        add_header Content-Security-Policy "default-src 'self'";
        add_header X-Content-Type-Options "nosniff";
        add_header X-Frame-Options "DENY";
    }
}

Implementación en WordPress

Puedes implementar estas cabeceras en WordPress mediante el archivo functions.php de tu tema o utilizando plugins como HTTP Headers:

function add_security_headers() {
    header("Strict-Transport-Security: max-age=31536000; includeSubDomains");
    header("Content-Security-Policy: default-src 'self'");
    header("X-Content-Type-Options: nosniff");
    header("X-Frame-Options: DENY");
}
add_action('send_headers', 'add_security_headers');