Comprobar las cabeceras de seguridad de una web

No directamente: Google no las puntúa. Pero dos de ellas tocan cosas que sí mira. HSTS consolida el sitio en https, que es un factor de posicionamiento desde 2014, y evita redirecciones http → https en cada visita. Y una web hackeada por falta de CSP acaba en la lista de Safe Browsing, que sí hunde el tráfico. Es un seguro barato.

Sí, si se pone a ciegas. Un CSP estricto bloquea cualquier script que no esté en la lista, incluidos los de analítica, chat o mapas. Por eso la configuración propuesta aquí solo limita marcos, formularios y plugins: no rompe nada y ya cierra el clickjacking. El CSP completo se escribe revisando cada script del sitio, y se prueba primero en modo Report-Only.

Una lista compilada dentro de Chrome, Firefox, Safari y Edge con los dominios que solo deben visitarse por https, sin necesidad de haberlos visitado antes. Para entrar, HSTS debe llevar max-age de al menos un año, includeSubDomains y preload; se solicita en hstspreload.org y tarda semanas en llegar a los navegadores. Salir es mucho más lento, así que conviene estar seguro: todos los subdominios, también los internos, tendrán que servirse por https.

Las dos hacen lo mismo: impedir que tu página se cargue dentro de un marco ajeno. frame-ancestors, dentro del CSP, es la moderna y permite listas de dominios; X-Frame-Options es la antigua y solo entiende DENY y SAMEORIGIN. Los navegadores actuales ignoran X-Frame-Options si hay frame-ancestors. Poner las dos no hace daño y cubre navegadores viejos.

Los navegadores, por compatibilidad, intentan adivinar el tipo de un archivo mirando su contenido cuando el servidor no lo dice bien. Un atacante que consiga subir un archivo «de imagen» con JavaScript dentro podría aprovecharlo. X-Content-Type-Options: nosniff apaga esa adivinanza. Cuesta una línea y no tiene efectos secundarios.

No. Significa que el servidor manda las cabeceras que los navegadores entienden, con valores que no las anulan. Es una capa: protege contra enmarcado, degradación a http y parte de las inyecciones de código. No sabe nada de tu formulario de login, de tus dependencias desactualizadas ni de la contraseña del panel. Esas se revisan de otra manera.

No. Nuestra función en Cloudflare hace la petición, devuelve las cabeceras a tu navegador y cachea el resultado diez minutos para no repetirla si vuelves a comprobar. El dominio se consulta además a hstspreload.org, el servicio de Google que mantiene la lista de precarga. Ninguno de los dos recibe nada más.