Configuración

Protección Básica

HSTS (Strict-Transport-Security)Forzar conexiones HTTPS

X-Content-Type-OptionsPrevenir el rastreo de tipos MIME

X-Frame-OptionsPrevenir ataques de clickjacking

Referrer PolicyControlar información de referencia

Política de Seguridad de Contenido (CSP)

Default Src

Script Src

Style Src

Image Src

Código Generado

const helmet = require('helmet');

app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ['self'],
      scriptSrc: ['self'],
      styleSrc: ['self'],
      imgSrc: ['self'],
      connectSrc: ['self'],
      fontSrc: ['self'],
      objectSrc: ['none'],
      mediaSrc: ['self'],
      frameSrc: ['none'],
    },
  },
  hsts: {
    maxAge: 31536000,
    includeSubDomains: true,
    preload: true,
  },
  frameguard: {
    action: 'deny',
  },
  referrerPolicy: {
    policy: 'no-referrer',
  },
}));

Generador de Encabezados de Seguridad

Genere encabezados HTTP seguros y configuraciones de Helmet.js para proteger su sitio web de ataques.

Cómo Usar

Configurar Encabezados

Active los encabezados de seguridad que desea habilitar, como HSTS, X-Frame-Options y X-Content-Type-Options.

Establecer Reglas CSP

Defina su Política de Seguridad de Contenido (CSP) para controlar qué recursos puede cargar el navegador.

Copiar Código

Copie el código de configuración generado para Helmet.js, Nginx o Apache y agréguelo a la configuración de su servidor.

Preguntas Frecuentes

¿Qué son los encabezados de seguridad?

Los encabezados de seguridad son encabezados de respuesta HTTP que le dicen al navegador cómo comportarse al manejar el contenido de su sitio web, ayudando a prevenir varios ataques.

¿Qué es Helmet.js?

Helmet.js es un middleware popular de Node.js que ayuda a proteger aplicaciones Express configurando varios encabezados HTTP.

¿Por qué necesito HSTS?

HTTP Strict Transport Security (HSTS) le dice a los navegadores que su sitio web solo debe ser accedido usando HTTPS, previniendo ataques de hombre en el medio.

¿Qué es Clickjacking?

Clickjacking es un ataque donde un sitio malicioso engaña a un usuario para que haga clic en algo diferente de lo que el usuario percibe. X-Frame-Options ayuda a prevenir esto.

¿Qué hace X-Content-Type-Options?

Impide que el navegador intente adivinar ('sniff') el tipo MIME, obligándolo a apegarse al tipo de contenido declarado. Esto previene ataques XSS a través de cargas de archivos.

¿Qué es la Política de Seguridad de Contenido (CSP)?

CSP es una capa adicional de seguridad que ayuda a detectar y mitigar ciertos tipos de ataques, incluyendo Cross-Site Scripting (XSS) y ataques de inyección de datos.

¿Cómo uso el código generado para Nginx?

Agregue las directivas `add_header` generadas a su bloque de servidor o archivo de configuración de bloque de ubicación en Nginx.

¿Puedo usar estos encabezados en cualquier sitio web?

Sí, los encabezados HTTP estándar son compatibles con todos los navegadores modernos y se pueden configurar en cualquier servidor web (Apache, Nginx, IIS, etc.).

¿Sigue siendo necesario X-XSS-Protection?

Es en gran medida obsoleto en los navegadores modernos que tienen una fuerte protección XSS integrada, pero algunos sistemas heredados aún pueden beneficiarse de él.

¿Qué es Referrer Policy?

Controla cuánta información de referencia (enviada a través del encabezado Referer) debe incluirse con las solicitudes realizadas desde su sitio.