Headers HTTP & CORS

Desarrollo

Constructor y auditor de cabeceras de seguridad CSP, HSTS y CORS

Se ejecuta en tu navegador
No se envía nada a un servidor
Sin registro

Nivel de seguridad web

Excelente (A+)100%

10 cabeceras de protección activadas

Strict-Transport-Security (HSTS)

Incluir subdominiosHabilitar precarga (preload)

Clickjacking y tipos MIME

X-Frame-Options

X-Content-Type-Options: nosniff

Referrer-Policy

Cabeceras CORS

Access-Control-Allow-Origin

Métodos permitidos

Permitir credenciales

Content-Security-Policy (CSP)

Directivas

Configuración generada

Pega esto en la configuración de tu servidor

// next.config.mjs
/** @type {import('next').NextConfig} */
const nextConfig = {
  async headers() {
    return [
      {
        source: '/:path*',
        headers: [
          {
            key: 'Strict-Transport-Security',
            value: "max-age=31536000; includeSubDomains; preload",
          },
          {
            key: 'X-Frame-Options',
            value: "SAMEORIGIN",
          },
          {
            key: 'X-Content-Type-Options',
            value: "nosniff",
          },
          {
            key: 'Referrer-Policy',
            value: "strict-origin-when-cross-origin",
          },
          {
            key: 'Permissions-Policy',
            value: "camera=(), microphone=(), geolocation=(), browsing-topics=()",
          },
          {
            key: 'Access-Control-Allow-Origin',
            value: "https://tecnocrypter.com",
          },
          {
            key: 'Access-Control-Allow-Methods',
            value: "GET, POST, PUT, DELETE, OPTIONS",
          },
          {
            key: 'Access-Control-Allow-Headers',
            value: "Content-Type, Authorization, X-Requested-With",
          },
          {
            key: 'Access-Control-Allow-Credentials',
            value: "true",
          },
          {
            key: 'Content-Security-Policy',
            value: "default-src 'self'; script-src 'self' 'unsafe-inline' https:; style-src 'self' 'unsafe-inline' https:; img-src 'self' data: blob: https:; font-src 'self' data: https:; connect-src 'self' https: wss:; frame-ancestors 'self';",
          },
        ],
      },
    ];
  },
};

export default nextConfig;

Constructor de Cabeceras HTTP de Seguridad y CORS

Configura visualmente las cabeceras de seguridad que protegen tu web (HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Content-Security-Policy) y las de CORS, y obtén la configuración lista para Next.js, Nginx, Caddy o Apache.

Cada opción suma a un indicador de nivel de seguridad orientativo (A+/B/C) similar al de securityheaders.com, para que veas el impacto de activar o desactivar cada cabecera.

Todo se genera en tu navegador. No se prueba tu dominio real ni se envía nada a ningún servidor.

¿Cómo funciona?

Ajusta las cabeceras
Activa HSTS, CSP, CORS y el resto según tus necesidades.
Elige el servidor
Next.js, Nginx, Caddy, Apache o formato raw.
Copia o descarga
Pega el bloque en tu configuración y despliega.

Preguntas Frecuentes

¿Debo activar HSTS preload?

Solo si estás seguro de servir siempre por HTTPS en el dominio y todos sus subdominios. Salir de la lista preload de los navegadores lleva meses.

¿Por qué mi CSP rompe la página?

Suele faltar una fuente en script-src o style-src. Empieza en modo Content-Security-Policy-Report-Only, revisa los informes y ajusta antes de forzarla.

¿Access-Control-Allow-Origin: * con credenciales?

No es válido. Si permites credenciales, el origen debe ser explícito, no el comodín.

Herramientas Relacionadas

Verificador de DNS Escaneo de Puertos Conversor cURL Verificador de URLs

Ver todas las herramientas