Si tienes un sitio web de WordPress, es fundamental que tomes medidas estrictas para garantizar su seguridad. Independientemente de si tu sitio web es un blog, una tienda en línea o un negocio, la seguridad es crucial para mantener el éxito de tu sitio web.

Es común que los visitantes de tu sitio web compartan información sensible, como datos de tarjetas de crédito y contraseñas, por lo que es vital asegurarte de que tu sitio esté protegido contra posibles ataques de hackers.

Existen numerosas medidas que puedes tomar para fortalecer la seguridad de tu sitio web de WordPress. Una de las opciones más efectivas es la implementación de cabeceras de seguridad HTTP. Al incluir estas cabeceras en tu sitio web, puedes asegurarte de que estás siguiendo las mejores prácticas de seguridad para reducir el riesgo de ataques y vulnerabilidades.

En este artículo, te enseñaremos qué son las cabeceras de respuesta HTTP y cómo puedes agregar cabeceras de seguridad HTTP en tu sitio web de WordPress.

¿Qué son las cabeceras HTTP?

Cuando un usuario accede a una página web mediante un navegador, el servidor envía cabeceras de respuesta HTTP. Estas cabeceras indican al navegador cómo actuar durante su interacción con el sitio web.

Las cabeceras de respuesta de HTTP suelen contener metadatos, como el control de la caché, los códigos de estado de error, el cifrado de contenido, entre otros.

La implementación de las cabeceras de respuesta de HTTP puede ayudarte a mejorar la seguridad de tu sitio web y prevenir o mitigar ataques. Por ejemplo, mediante el uso de la cabecera «HTTP Strict Transport Security (HSTS)«, puedes obligar a los navegadores web modernos, como Google Chrome, Firefox y Safari, a que solo se comuniquen con tu sitio web a través de HTTPS.

Principales cabeceras HTTP

En este artículo, analizaremos seis cabeceras de seguridad HTTP importantes:

• HTTP Strict Transport Security (HSTS): la Seguridad de transporte estricta sirve para forzar a los navegadores web para que solo se pueda acceder a tu web mediante HTTPS. Sin esta configuración, los hackers pueden utilizar scripts específicos para acceder a tu web a través del HTTP y descubrir vulnerabilidades.
• X-XSS Protection: es conocido como cross-site scripting. Este tipo de ataque consiste en inyectar un script malicioso dentro de tu web para ser ejecutado y procesado. El objetivo es robar datos personales del usuario mediante las cookies de la sesión, entre otras. Pese a que hay navegadores que ya incluyen esta cabecera integrada, es importante añadirla también dentro de nuestra web.
• X-Content-Type-Options: Esta cabecera de seguridad protege el contenido y reduce el riesgo de descargas no autorizadas.
• X-Frame Options: Sirve para prevenir que otras páginas puedan abrir nuestra web desde un iframe. Este método es utilizado por el atacante para engañar al usuario para que haga clic en algo que en realidad no está. Un usuario puede creer que está en el sitio principal; sin embargo, hay otra cosa ejecutándose de fondo. De esta manera, los hackers pueden robar información de tu navegador web.
• Content-Security-Policy (CSP): Esta cabecera ayuda a reducir el riesgo de ataques XSS limitando el permiso para que se carguen automáticamente los recursos dinámicos de una web.
• Referrer-Policy: Esta cabecera permite reducir el rastreo que realizan las webs a los usuarios que se conectan a ellas.
• Feature-Policy: Finalmente, con esta cabecera podemos limitar las funciones de nuestra web. Entre otras funciones se pueden limitar la geolocalización, las notificaciones, el micrófono o la cámara, entre otros.

Añadiendo las cabeceras HTTP en nuestra web

Si tu web está diseñada con el CMS de WordPress, puedes instalar estas cabeceras directamente en el archivo functions.php de tu tema de preferencia. También puedes añadirlas mediante algún plugin como HTTP Headers.

Por otro lado, si tu web no está hecha con WordPress, puedes añadirlas en el archivo .htaccess. Este archivo está en el directorio raíz de tu hosting o servidor.

Te adjuntamos aquí un ejemplo de código con las configuraciones de las diferentes cabeceras HTTP. Recuerda adaptar este código con las configuraciones que necesite tu web.

Header set Strict-Transport-Security "max-age=31536000" env=HTTPS
Header set X-XSS-Protection "1; mode=block"
Header set X-Content-Type-Options nosniff
Header always append X-Frame-Options SAMEORIGIN
Header Referrer-Policy: no-referrer-when-downgrade
Header set Content-Security-Policy default-src 'none'; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';

Comprobando la seguridad de tu web

Hace unas semanas hablábamos de cómo auditar la seguridad de tu web. Es conveniente tener en cuenta, cuando analicemos nuestra web, la revisión de las cabeceras HTTP de nuestra web.

Una buena herramienta con la que poder comprobar rápidamente esta configuración es securityheaders.com. Es muy sencilla de utilizar: solo tienes que poner la URL de tu sitio, y te mostrará de inmediato si tienes cabeceras de seguridad HTTP y cuáles.