Analizador de encabezados HTTP
Pega los encabezados sin procesar de una solicitud o respuesta HTTP, desde las DevTools del navegador o curl, y obtén una tabla legible que explica cada encabezado y decodifica valores como tiempos de caché y tamaños. Los encabezados de respuesta reciben además una nota de seguridad con correcciones concretas.
Última actualización:
curl -I o curl -v. El análisis se hace mientras escribes.
Cómo usar Analizador de encabezados HTTP
- Copia los encabezados: en las DevTools abre la pestaña Red (Network), selecciona una solicitud y copia los encabezados de respuesta o de solicitud sin procesar, o ejecuta
curl -I https://example.com. - Pégalos en el recuadro. La tabla se actualiza mientras escribes, o haz clic en Analizar encabezados.
- Lee las explicaciones de cada encabezado y los valores decodificados debajo.
- Revisa la nota de seguridad de una respuesta y sigue los consejos de cada tarjeta.
- Exporta el resultado como CSV o JSON, o copia un informe de texto para compartirlo.
Los encabezados de seguridad que todo sitio debería enviar
| Encabezado | Valor recomendado | Protege contra |
|---|---|---|
Strict-Transport-Security | max-age=31536000; includeSubDomains | Degradación de HTTPS y robo de cookies en redes Wi-Fi públicas |
Content-Security-Policy | Específico de cada sitio, p. ej. default-src 'self'; frame-ancestors 'self' | Cross-site scripting y código de terceros inyectado |
X-Frame-Options | SAMEORIGIN o DENY | Clickjacking en navegadores antiguos (CSP frame-ancestors en los nuevos) |
X-Content-Type-Options | nosniff | Ataques de detección de tipo MIME (MIME sniffing) |
Referrer-Policy | strict-origin-when-cross-origin | Filtración de URL privadas a otros sitios |
Permissions-Policy | camera=(), microphone=(), geolocation=() | Abuso de funciones potentes del navegador por parte de contenido incrustado |
Cross-Origin-Opener-Policy | same-origin | Ataques entre ventanas y filtraciones de tipo Spectre |
Crea un conjunto completo para Apache, Nginx, Netlify o Cloudflare con el Generador de encabezados de seguridad y escribe una política con el Generador de Content Security Policy.
Cómo leer los encabezados de caché
- Cache-Control: max-age=600 permite al navegador reutilizar la respuesta durante 10 minutos sin preguntar al servidor. s-maxage fija una duración aparte para las CDN y los proxies.
- no-cache no significa "no guardar en caché": significa que la caché debe consultar al servidor (con ETag o Last-Modified) antes de cada uso. no-store es el que prohíbe guardarla.
- ETag y Last-Modified permiten solicitudes condicionales; cuando nada ha cambiado, el servidor responde 304 Not Modified sin cuerpo. Consulta todos los códigos en Códigos de estado HTTP.
- Vary: Accept-Encoding indica a las cachés que guarden copias separadas de las versiones comprimidas y sin comprimir.
- Age, X-Cache y CF-Cache-Status muestran si una CDN sirvió una copia en caché (HIT) o la obtuvo del origen (MISS).
Preguntas frecuentes
¿Cómo veo los encabezados HTTP de un sitio web?
En Chrome, Edge o Firefox pulsa F12, abre la pestaña Red (Network), recarga la página y haz clic en la primera solicitud; el panel Encabezados muestra los encabezados de solicitud y de respuesta, y la vista sin procesar se puede copiar. Desde una terminal, curl -I https://example.com muestra los encabezados de respuesta, y curl -v muestra la solicitud y la respuesta.
¿Cómo se calcula la nota de seguridad?
Se dan puntos por Strict-Transport-Security (25), Content-Security-Policy (25), protección contra clickjacking mediante X-Frame-Options o CSP frame-ancestors (15), X-Content-Type-Options (10), Referrer-Policy (10), Permissions-Policy (10) y Cross-Origin-Opener-Policy (5). Se restan puntos por filtraciones de versión, como Server: nginx/1.24.0 o X-Powered-By, y por cookies sin Secure o HttpOnly. Para obtener A+ hay que superar todas las comprobaciones.
¿Debo seguir enviando X-XSS-Protection?
No. El auditor XSS que controlaba se eliminó de Chrome, Edge y Safari, y en navegadores antiguos el ajuste 1; mode=block podía aprovecharse para filtrar información. La recomendación actual es omitir el encabezado o enviar X-XSS-Protection: 0 y confiar en una Content-Security-Policy.
¿Qué significan Secure, HttpOnly y SameSite en una cookie?
Secure significa que la cookie solo se envía por HTTPS. HttpOnly la oculta a JavaScript, lo que protege las cookies de sesión del robo mediante cross-site scripting. SameSite (Lax, Strict o None) controla si la cookie se envía con solicitudes desde otros sitios; Lax es el valor predeterminado del navegador y bloquea la mayoría de los ataques de falsificación de solicitudes entre sitios.
¿Por qué algunos encabezados empiezan por dos puntos?
Encabezados como :status, :method, :path y :authority son pseudoencabezados de HTTP/2 y HTTP/3. Llevan lo que HTTP/1.1 pone en la primera línea del mensaje, como el código de estado o el método y la ruta de la solicitud. El analizador los reconoce y los usa para detectar el tipo de mensaje.
¿Es seguro pegar encabezados que contienen cookies o tokens?
Sí, el análisis se hace por completo en tu navegador y no se envía nada a ningún sitio. Aun así, trata los valores de Cookie, Set-Cookie y Authorization como contraseñas: elimínalos antes de compartir el resultado con otras personas.
¿Se prueban todas las herramientas de FreeToolCabin para comprobar su calidad y precisión?
Sí. Cada herramienta del sitio pasa pruebas automáticas en navegadores reales para comprobar que el resultado es correcto y que no hay errores. Si encuentras un fallo o tienes una sugerencia, escríbenos a [email protected] y lo revisaremos.