Soporte técnico práctico
Comprender una comprobación de seguridad de un sitio web público
Una insignia verde en el encabezado no puede establecer que todo un sitio web es seguro, pero puede ayudar a determinar si un sitio web es seguro.
Última vez revisado:
Lo que podemos observar
El comprobador de seguridad del sitio web Leer una respuesta pública y las instrucciones de rastreo del sitio. Comprueba la conexión final, los encabezados HTTP seleccionados y un conjunto limitado de referencias de recursos y acciones de formularios en el HTML devuelto.No inicia sesión, envía formularios, ejecuta scripts de sitios web ni prueba un exploit.
HTTPS es una evidencia necesaria, no un veredicto de seguridad
Un certificado verificado ayuda a establecer una conexión cifrada con el nombre de host solicitado.Un sitio web malicioso también puede usar HTTPS.Nuestra comprobación no audita la configuración de TLS en todos los protocolos, determina la honestidad del operador ni inspecciona los datos privados de la aplicación.
HSTS es una instrucción separada del navegador para preferir HTTPS después de aprender la política.Comience trabajando con HTTPS antes de agregar una larga vida útil de HSTS.Incluir subdominios o solicitar la precarga puede afectar a los servicios más allá de la página que está editando; no copie una política sin comprobar esa cobertura.
Ajustar el control a su propósito
| Control | Una pregunta útil |
|---|---|
| Política de seguridad de contenido | ¿La política limita los recursos que la aplicación realmente necesita?La presencia por sí sola no demuestra que bloquee el ataque relevante. |
| Restricciones de encuadre | Revise los frame-ancestors de CSP y cualquier encabezado de X-Frame-Options para ver si tiene esa intención. |
| nosniff | ¿Los tipos de recursos se sirven correctamente, con una instrucción de navegador coincidente contra el rastreo MIME? |
| Política de Referrer | Los valores predeterminados del navegador, las metapolíticas y los enlaces individuales también son importantes, así que asegúrate de tenerlos en cuenta. |
| Política de permisos | ¿Qué características del navegador necesita esta página?Una herramienta de cámara debe conservar los permisos necesarios para funcionar. |
Leer resultados de contenido mixto en un navegador
Vale la pena investigar un destino de imagen o formulario HTTP en un documento HTTPS. Algunas solicitudes de recursos pueden estar actualizadas o bloqueadas por un navegador. Nuestra comprobación no las recupera, sigue sus redirecciones, inspecciona CSS ni ejecuta solicitudes creadas por scripts.
Por qué no podemos certificar parches de software
Un valor público de servidor o X-Powered-By es una declaración. Puede ocultarse, cambiarse, servirse a través de un proxy o retenerse después de que un proveedor retroporte una corrección. Ocultarlo reduce la divulgación, pero no parchea el software. Para evaluar un aviso de PHP o un plugin, compruebe el paquete instalado, la configuración y la orientación del proveedor con el host o el administrador.
Utilizar un proceso de cambio medido
- Comprueba que la respuesta pertenece a la página deseada, en lugar de un desafío de bot o una pantalla de error.
- Revisa cada observación en relación con el propósito de la página.
- Realice un cambio de configuración en la preparación y pruebe la navegación, formularios, medios e integraciones externas.
- Revise los informes de CSP cuando sea apropiado antes de hacer cumplir una política más estricta.
- Mantenga el parcheo, las copias de seguridad y la seguridad de la cuenta como responsabilidades separadas.
Una respuesta pública limpia puede coexistir con fallos de aplicaciones privadas; un encabezado opcional que falta no es automáticamente una vulnerabilidad, pero puede ser un problema de seguridad en la aplicación privada.
Referencias técnicas: Guía de CSP de MDN, HSTS, nosniff y Controles de enmarcado.