Mantenga en su sitio las cabeceras que protegen su web
Las cabeceras de seguridad se pierden con facilidad. Suelen configurarse en un único sitio (un proxy inverso, una regla de la CDN, un middleware del framework) y nada se rompe para nadie cuando ese sitio cambia y desaparecen. El sitio se ve y funciona exactamente igual que antes; solo la protección contra clickjacking, contenido mixto o cross-site scripting se ha esfumado sin hacer ruido. Un análisis anual acaba detectándolo.
Pingsured comprueba las cabeceras en cada ejecución.
Qué comprobar
Las comprobaciones de cabeceras leen solo las cabeceras de la respuesta, no el cuerpo, así que pueden ir en el mismo ping que su comprobación de disponibilidad:
| Cabecera | Operador | Valor |
|---|---|---|
Content-Security-Policy | contiene | frame-ancestors |
Strict-Transport-Security | coincide con | max-age=\d{8,} |
X-Content-Type-Options | igual a | nosniff |
Referrer-Policy | existe | |
Server | no existe |
La línea de HSTS pasa con un max-age de ocho cifras o más (al menos 10.000.000 segundos, unos cuatro meses), así que falla una cabecera recortada a unos minutos. La comprobación TLS descrita abajo evalúa su duración exacta. La última línea es el caso contrario: una cabecera que no debería estar, como un banner de versión que una nueva imagen del servidor ha vuelto a traer.
Junto con la comprobación TLS
Una comprobación TLS sobre el mismo host cubre la otra mitad una vez al día: si HSTS es lo bastante largo según las directrices de Mozilla, si el puerto 80 redirige a HTTPS y si las cookies llevan el atributo Secure. Las comprobaciones de cabeceras de un ping HTTP añaden las cabeceras que usted elija, con el intervalo que usted elija.
Por qué comprobar las cabeceras de seguridad con Pingsured
- En cada ejecución, no una vez al año. Una cabecera perdida en un despliegue se notifica en minutos, no en la siguiente prueba de penetración.
- Las cabeceras que le importan. Valores exactos, subcadenas, expresiones regulares o simple presencia, hasta 16 comprobaciones de cabeceras por ping.
- Cada ubicación por separado. Las cabeceras que fija una CDN pueden variar entre nodos; una comprobación desde varias ubicaciones muestra dónde falta una.
- Desde cuándo falta, no solo si falta. El historial del ping muestra cuándo desapareció una cabecera y desde qué ubicación.
Límites que conviene conocer
- Una comprobación de cabeceras evalúa la respuesta de la URL que usted configura. Las páginas que sirve otra aplicación (una tienda, un centro de ayuda en su propio sistema) necesitan su propio ping.
- Los valores de las cabeceras se comparan, no se interpretan: una comprobación confirma que una CSP contiene
frame-ancestors, no que la política sea buena.