Cabeceras de seguridad HTTP para páginas de pago, explicadas

Qué son las cabeceras de seguridad y por qué importan

Cuando un navegador solicita una página, la respuesta incluye la página y un conjunto de cabeceras HTTP. Algunas cabeceras se refieren al rendimiento; las cabeceras de seguridad activan protecciones que residen en el propio navegador. Cuesta casi nada enviarlas y, bien configuradas, cierran clases enteras de ataques. Mal configuradas o eliminadas, dejan la página menos protegida, a menudo sin ningún cambio visible.

En las páginas de pago las cabeceras importan dos veces: reducen la posibilidad de que un skimmer pueda cargarse o sacar datos y, como las puede cambiar cualquiera que controle un proxy, una CDN o un ajuste del servidor, son algo que un atacante puede debilitar. Por eso el requisito 11.6.1 de PCI DSS abarca las cabeceras HTTP además del contenido de la página.

Las cabeceras que más importan

Dos cabeceras antiguas merecen una nota. X-XSS-Protection controlaba un filtro que los navegadores modernos ya no incluyen y en general se recomienda desactivarla u omitirla. Public-Key-Pins fue eliminada de los navegadores y no debe usarse.

Un punto de partida, no una receta

Las cabeceras siguientes muestran la forma de un conjunto razonable. La Política de Seguridad de Contenido en particular debe construirse para sus propias páginas y probarse antes de aplicarla, por lo que aquí se muestra solo como marcador.

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: (construida para su página, vea el artículo sobre CSP)
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Cache-Control: no-store

La hoja de referencia de cabeceras HTTP de OWASP y el proyecto OWASP Secure Headers mantienen la orientación actualizada y los valores recomendados para cada cabecera.

Qué significa la manipulación de cabeceras

La manipulación de cabeceras es cualquier cambio no autorizado en las cabeceras con las que se entrega una página. En la práctica adopta formas como:

• eliminar la Política de Seguridad de Contenido, o añadirle 'unsafe-inline' o el dominio de un atacante, de modo que se permita ejecutar el script del atacante;
• eliminar la protección contra marcos para que otro sitio pueda enmarcar la página;
• eliminar HSTS o acortar su duración;
• cabeceras que difieren entre páginas, regiones o visitantes, por ejemplo una página protegida en la ruta principal pero no en el paso de pago.

La causa puede ser un atacante con acceso a la configuración del servidor, de la CDN o del proxy, un cambio bienintencionado de alguien que no conocía su efecto, o un despliegue que sobrescribió las cabeceras. El efecto es el mismo, y es invisible en la propia página. Revisar las cabeceras tal como las recibe el navegador, con una periodicidad, y avisar de cualquier diferencia respecto al conjunto aprobado es como el requisito 11.6.1 trata esto. Vea cómo detectar la manipulación del lado del cliente.