Las cabeceras HTTP de seguridad son instrucciones que un servidor web envía al navegador junto con cada respuesta, indicándole cómo debe proteger la página: bloqueando contenido mezclado, restringiendo qué scripts pueden ejecutarse, evitando ataques de clickjacking o forzando HTTPS. Son la primera línea de defensa frente a XSS, MITM y robo de sesiones.
A diferencia de los certificados TLS, las cabeceras se configuran a nivel de aplicación o servidor web (Nginx, Apache, Cloudflare, CDN) y su ausencia no rompe el sitio. Por eso son tan habituales: muchos equipos las omiten por desconocimiento, no por imposibilidad técnica.
Un test de cabeceras de seguridad analiza la respuesta HTTP de un dominio en producción y verifica qué cabeceras críticas están presentes, ausentes o mal configuradas. El resultado es un grado (A+ a F) que refleja la postura defensiva pública del sitio.