← Todos los artículos

Encabezados de seguridad HTTP: qué son y cuáles necesita tu web

Por Gilberto Arenas · 14 de octubre de 2026 · 4 min de lectura

Tener el candado de HTTPS en el navegador es el primer paso de seguridad, pero no el último. Hay un grupo de instrucciones invisibles, llamadas encabezados de seguridad HTTP, que tu servidor le envía al navegador con cada página para decirle cómo protegerse. La mayoría de los sitios pequeños no tienen ninguno configurado, y activarlos suele tomar menos de una hora.

Qué es un encabezado HTTP

Cada vez que alguien abre tu página, el servidor no solo envía el contenido: también manda una serie de datos técnicos que el visitante no ve. Algunos de esos datos son reglas de seguridad, del tipo "nunca cargues este sitio sin HTTPS" o "no dejes que otra web meta mi página dentro de un marco". Si tu servidor no las envía, el navegador asume lo más permisivo.

Los encabezados que más importan

• Strict-Transport-Security (HSTS): le dice al navegador que tu sitio siempre debe abrirse con HTTPS, aunque alguien escriba la dirección con "http://". Evita que un atacante en una red Wi-Fi pública intercepte la primera conexión. Es el más importante si ya tienes certificado SSL.
• Content-Security-Policy (CSP): una lista de qué fuentes de scripts, imágenes y estilos están permitidas en tu sitio. Si alguien logra inyectar código malicioso, el navegador se niega a ejecutarlo. Es el más poderoso, pero también el más delicado de configurar.
• X-Frame-Options (o la directiva frame-ancestors dentro de CSP): impide que otro sitio muestre tu página dentro de un marco invisible para engañar a tus usuarios y hacerlos dar clic donde no quieren. A este ataque se le llama clickjacking.
• X-Content-Type-Options: nosniff: evita que el navegador "adivine" qué tipo de archivo está recibiendo, una adivinanza que se ha usado para colar código malicioso disfrazado de imagen o de texto.
• Referrer-Policy: controla cuánta información sobre tu página se envía a otros sitios cuando alguien hace clic en un enlace externo. Protege la privacidad de tus visitantes, sobre todo si tus URLs incluyen datos como correos o números de pedido.
• Permissions-Policy: define qué funciones del dispositivo (cámara, micrófono, ubicación) puede pedir tu sitio. Si no las usas, lo sensato es bloquearlas.

¿Esto afecta mi posicionamiento?

No directamente: Google no sube ni baja tu ranking por tener o no un CSP. Pero un sitio hackeado sí cae, a veces de forma dramática, y Chrome puede mostrar una advertencia roja a quien intente entrar. Los encabezados de seguridad son una de las capas que hacen más difícil llegar a ese punto. Si te preocupa si tu sitio ya fue comprometido, te sirve también nuestra guía sobre cómo saber si tu WordPress es vulnerable.

Cómo revisar si tu sitio los tiene

1. Abre tu sitio en Chrome, haz clic derecho y elige Inspeccionar.
2. Ve a la pestaña Red (Network) y recarga la página.
3. Haz clic en la primera fila (el documento principal) y busca la sección Encabezados de respuesta.
4. Revisa si aparecen los nombres de la lista anterior.

Si prefieres no meterte en las herramientas de desarrollador, una auditoría automática lo revisa por ti y te dice cuáles faltan.

Cómo activarlos

Depende de dónde esté alojado tu sitio:

• WordPress: hay plugins de seguridad que agregan los encabezados básicos desde un panel, sin tocar código. También se pueden añadir en el archivo .htaccess si tu hosting usa Apache.
• Hosting con panel (cPanel, Plesk): muchos permiten agregar encabezados personalizados desde la configuración del dominio.
• Cloudflare: con las reglas de transformación puedes añadir encabezados a todas las respuestas sin tocar el servidor.
• Vercel, Netlify y similares: se configuran en el archivo de configuración del proyecto.

Empieza por lo seguro

No actives todo de golpe. Un orden razonable es:

1. Primero X-Content-Type-Options, Referrer-Policy y X-Frame-Options. Casi nunca rompen nada.
2. Después HSTS, pero solo cuando estés seguro de que todo tu sitio (incluidos los subdominios, si los incluyes) funciona bien con HTTPS. Empieza con una duración corta y súbela con el tiempo.
3. Al final CSP, en modo de solo reporte al principio, para ver qué bloquearía antes de que bloquee de verdad. Un CSP mal configurado puede dejar sin funcionar tu chat, tus formularios o tus píxeles de publicidad.

¿No sabes cuáles tiene tu sitio hoy? Haz una auditoría gratis y en la sección de seguridad verás cuáles faltan y qué prioridad tiene cada uno.