Strict
Transport
Comprueba en tiempo real si tu servidor entrega la cabecera HSTS correcta y si tu dominio califica para la máxima protección contra ataques de degradación de cifrado.
Verificador HSTS – Validación de HTTP Strict Transport Security y Preload
Comprueba en tiempo real si tu servidor entrega la cabecera HSTS correcta y si tu dominio califica para la máxima protección contra ataques de degradación de cifrado.
Verificador HSTS: Audita la Cabecera Strict-Transport-Security y Estado Preload
01¿Qué es HSTS y cómo protege a los usuarios de sitios web?
HTTP Strict Transport Security (HSTS, RFC 6797) es un estándar web que fuerza a los navegadores a conectarse a un sitio web únicamente a través de conexiones seguras HTTPS. Evita que un atacante degrade la conexión a HTTP simple en redes públicas no seguras mediante técnicas como SSL Stripping.
02¿Qué es el ataque SSL Stripping y cómo lo neutraliza HSTS?
En un ataque SSL Stripping, un ciberdelincuente en la misma red intercepta la petición inicial no cifrada del usuario y se comunica con el servidor por HTTPS, pero devuelve al usuario páginas HTTP sin cifrar, capturando contraseñas y cookies. Con HSTS activo, el navegador bloquea cualquier conexión no cifrada antes de que salga del dispositivo.
03¿Cuáles son los requisitos exactos para calificar al HSTS Preload de Chrome?
Para ser aceptado en la lista oficial de precarga de los navegadores, el dominio debe: 1) Servir un certificado TLS válido, 2) Redirigir de HTTP a HTTPS en el puerto 80, 3) Entregar la cabecera HSTS en el dominio base, 4) Tener un max-age de al menos 31536000 segundos (1 año), 5) Incluir la directiva includeSubDomains, y 6) Contener el parámetro preload.
04¿Qué precaución se debe tener antes de activar includeSubDomains?
Si se activa `includeSubDomains` y un subdominio secundario o interno (como un servidor de desarrollo o intranet antigua) carece de certificado SSL válido, los usuarios perderán el acceso a dicho subdominio de forma irreversible hasta que venza el tiempo de caché en sus navegadores.
05HSTS Deployment Risks: Why unplanned configurations can lock out subdomains
HSTS is an extremely sharp security tool that leaves no room for configuration errors. If you activate the `includeSubDomains` directive and your HSTS header becomes active, but a legacy internal subdomain (like an older intranet or a staging server) does not have a valid SSL certificate, the browser will block access to that subdomain entirely. This block cannot be bypassed or overridden by the user. Even removing the header from the server will not resolve it immediately, as browsers persistently store the directive in their local cache until `max-age` expires. Our tool provides a safe testing arena for administrators to thoroughly validate the header config before global rollouts.
Infrastructure Tip: Properly hardening HTTP response headers (HSTS, CSP, X-Frame-Options) is essential for modern IT compliance. To continuously monitor your server configurations and receive immediate alerts on certificate or header anomalies, deploying an automated security monitoring suite is paramount. Compare top enterprise security platforms here
¿Cómo calificarías esta herramienta?
Aún no hay calificaciones. ¡Sé el primero en dejar tus comentarios!
Herramientas de red relacionadas y recomendadas
Herramientas gratuitas para desarrolladores y TI para análisis de precisión sin registro