Cabeceras analizadas, no solo listadas
Profundidad de las directivas CSP, verificación en vivo de la precarga HSTS y una referencia CWE/OWASP para cada hallazgo: la comprobación individual más profunda que ofrece Scanverra.
Revisar mis cabeceras gratisLas cabeceras principales, de un vistazo
| Cabecera | Qué hace | CWE |
|---|---|---|
| Content-Security-Policy | Restringe qué scripts, estilos y recursos pueden cargarse | CWE-693 |
| Strict-Transport-Security | Obliga a usar HTTPS, bloqueando los ataques de downgrade de protocolo | CWE-319 |
| X-Frame-Options | Evita que tu sitio se incruste en marcos para ataques de clickjacking | CWE-1021 |
| X-Content-Type-Options | Impide que los navegadores interpreten las respuestas por MIME-sniffing | - |
| Referrer-Policy | Controla qué se envía en la cabecera Referer a otros sitios | - |
| Permissions-Policy | Restringe el acceso a funciones del navegador como la cámara y la geolocalización | - |
Qué significa "analizado" en realidad
Análisis de las directivas CSP
No se limita a comprobar "si hay una CSP presente": revisa individualmente base-uri, form-action, object-src y frame-ancestors, y marca los orígenes comodín demasiado permisivos.
Verificación en vivo de la precarga HSTS
Comprueba la configuración de max-age e includeSubDomains de HSTS y luego verifica en vivo en la lista de precarga HSTS de los navegadores si tu dominio está realmente precargado, no solo configurado para solicitarlo.
Detección de cabeceras obsoletas
Señala cabeceras como X-XSS-Protection que los navegadores ya han descontinuado y ya no respetan, para que no dependas de una protección que ya no existe.
Cómo funciona
Un escaneo, todas las cabeceras, análisis real.
Pega tu URL
Una comprobación externa contra las cabeceras de respuesta reales de tu sitio, las mismas que recibe el navegador de cualquier visitante.
Cada cabecera, analizada
Presencia, profundidad de configuración y debilidades conocidas, no una simple lista de presente/ausente.
Soluciones con valores de cabecera exactos
Cada hallazgo incluye un identificador CWE, una categoría del OWASP Top 10 y un valor de cabecera específico recomendado para configurar.
Preguntas frecuentes
Listar qué cabeceras están presentes es sencillo. Analizar si una Content-Security-Policy es realmente restrictiva, si tu cabecera HSTS está genuinamente precargada (y no solo configurada), y asociar cada brecha a un CWE y una categoría OWASP concretos es la parte que la mayoría de verificadores de cabeceras se salta.
CWE (Common Weakness Enumeration) es un identificador estándar para una clase de debilidad de seguridad; OWASP Top 10 es una lista ampliamente referenciada de los riesgos de seguridad más críticos en aplicaciones web. Vincular los hallazgos a ambos facilita comunicarlos a un equipo de seguridad o auditor que ya trabaja con ese vocabulario.
Sí: hace una comprobación en vivo en la lista de precarga HSTS de los navegadores, así obtienes una respuesta real y no solo si tu cabecera incluye la palabra «preload».
Puede pasar si se implementa sin cuidado: una CSP demasiado estricta puede bloquear silenciosamente tus propios scripts, tu analítica o tu proveedor de pagos. Consulta la guía de CSP enlazada más abajo para una estrategia de implementación segura usando el modo report-only antes de aplicarla de forma forzosa.
Auditorías relacionadas
Auditoría de sitio
Ejecuta una auditoría instantánea y gratuita de rendimiento, SEO, accesibilidad y buenas prácticas.
Auditoría SEO
Comprueba la rastreabilidad, los metadatos, los datos estructurados y la detectabilidad por agentes de IA.
Auditoría de rendimiento
Una auditoría de rendimiento de laboratorio completa en escritorio y móvil, con correcciones adaptadas a tu framework.
Auditoría de accesibilidad
Ve exactamente qué criterios de éxito de WCAG 2.1/2.2 falla tu sitio, y por qué.
Auditoría de seguridad
Convierte un análisis de cabeceras/vulnerabilidades en evidencia de controles SOC 2 y RGPD.
Auditoría de velocidad del sitio
Qué tan rápido carga tu sitio, en lenguaje sencillo: un número, sin jerga.
Auditoría de Core Web Vitals
Comprueba LCP, CLS e INP frente a los umbrales de Google, en laboratorio y en campo.
Verificador de enlaces rotos
Rastrea los enlaces de una página y encuentra los que están muertos antes de que lo hagan tus usuarios.
Verificador de Open Graph
Comprueba si tu página tiene las etiquetas og:title, og:description y og:image que necesitan las plataformas sociales.
Verificador de marcado Schema
Comprueba si tu página incluye datos estructurados JSON-LD que los buscadores y agentes de IA pueden leer.
Verificador de sitemap
Comprueba si tu sitemap.xml es accesible, válido y está libre de errores comunes.
Verificador de redirecciones
Rastrea la cadena de redirección de una URL y detecta bucles, saltos excesivos y downgrades de HTTPS a HTTP.
Comprobador SSL
Prueba tu certificado SSL en segundos y revisa caducidad, nombre de host, cadena de confianza, versión de TLS, fuerza de la clave y HSTS.
Comprobador de contraste
Calcula la relación de contraste WCAG entre dos colores, ve resultados AA y AAA y obtén un color accesible sugerido.
Comprobador de tecnología
Descubre con qué CMS, framework, plataforma de ecommerce y librerías está hecho un sitio web.
Validador de robots.txt
Valida sintaxis, líneas Sitemap y límites de tamaño, y prueba si Googlebot u otro rastreador puede acceder a una URL.
Comprobador de canonical
Encuentra etiquetas canonical ausentes, duplicadas, relativas o en conflicto, y comprueba que la URL canónica carga.
Comprobador de hreflang
Valida códigos de idioma, x-default y autorreferencias, y confirma que cada página alternativa enlaza de vuelta.
Comprobador de metaetiquetas
Revisa title, meta description, encabezados H1, robots, viewport y etiquetas Open Graph de cualquier página.
Comprobador de estado HTTP
Revisa hasta 20 URL a la vez en busca de 200, 301, 404, 500 y cadenas de redirección.
Evaluador de CSP
Revisa una Content Security Policy en busca de unsafe-inline, unsafe-eval, comodines y object-src o base-uri ausentes, por URL o pegando la política.
Comprobador de contenido mixto
Encuentra scripts, hojas de estilo, iframes e imágenes http:// en páginas HTTPS que los navegadores bloquean o señalan.
Comprobador de texto alt
Encuentra imágenes con alt ausente, vacío, con nombre de archivo o demasiado largo, para accesibilidad y SEO de imágenes.
Comprobador de claves API
Analiza el HTML y JavaScript público de un sitio en busca de claves API, tokens y secretos filtrados.
Escáner de seguridad MCP
Detecta servidores MCP sin versión fija, tokens filtrados y ajustes de agentes arriesgados.
Seguridad en vibe coding
Revisa el código escrito con IA en busca de secretos, inyecciones y dependencias arriesgadas.
Comprobador de cumplimiento ADA
Prueba tu web con los criterios WCAG que citan los casos ADA.
Comprobador EAA
Revisa tu web con la base WCAG de la Ley Europea de Accesibilidad.
Para agencias
Audita webs de clientes en SEO, velocidad, accesibilidad y seguridad con un plan de equipo.
Lecturas relacionadas
Website Security Headers Explained: The Complete Checklist
CSP, HSTS, X-Frame-Options, and every other HTTP security header your site should ship - with copy-pasteable examples.
How to Implement a Content Security Policy Without Breaking Your Site
CSP is the highest-leverage security header and the easiest one to break your own site with - a safe rollout strategy using report-only mode.
Revisa tus cabeceras de seguridad gratis
Profundidad de CSP, verificación de precarga HSTS y correspondencia con CWE/OWASP.
Ejecutar auditoría gratis