Comprobador de seguridad HTTP
La mayoría de los fallos de seguridad web no son ataques inteligentes. Son un encabezado que nunca se configuró, o un número de versión que el servidor ofrece voluntariamente a cualquiera que lo solicite. Apunte el escáner a un sitio que usted controla y obtenga los encabezados y las tecnologías detrás de ellos: calificados, guardados y vigilados durante el día en que cambien.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Seis razones para comprobar tu propia capa HTTP
Los encabezados son la seguridad más baratatrabajo hay. Son configuración, no código, y la mayoría de ellos son de una línea.
01
Encuentra los encabezados que nunca se configuraron
Los encabezados de seguridad son las instrucciones que un sitio le da al navegador sobre cómo tratarlo. Sin ellos, el navegador aplica sus valores predeterminados, que son permisivos por diseño porque la web tiene que seguir funcionando para sitios escritos hace veinte años. Nada se rompe cuando falta un encabezado, por eso precisamente se quedadesaparecido.
02
Evitar que el servidor se presente
Una instalación predeterminada suele anunciar su software y versión en cada respuesta. Esto no es una vulnerabilidad en sí misma, y también es lo primero que lee un atacante: convierte "encontrar una manera de entrar" en "buscar las fallas conocidas en esta versión exacta". Apagar el banner no cuesta nada.
03
Revisa los encabezados que solo aplican en la página derecha
Strict-Transport-Security en la página de inicio de marketing y no en la página de inicio de sesión es un error común y silencioso. Los indicadores de cookies son los mismos: Secure y HttpOnly configurados en una cookie y olvidados en la cookie de sesión. Probar una URL le informa sobre una URL.
04
Vea qué tecnologías está ejecutando actualmente
La respuesta suele revelar el marco, el servidor y, a menudo, el CMS. Saber lo que se puede detectar desde el exterior es el punto de partidaEs importante saber si algo está desactualizado, y con frecuencia no es la versión que el equipo cree que está implementada.
05
Vea qué despliegue se eliminó silenciosamente
Los encabezados viven en una configuración que se reemplaza: un nuevo proxy inverso, una CDN agregada al frente, una actualización del marco que restablece los valores predeterminados. El sitio luce idéntico después. Los encabezados desaparecieron y nadie los mira a menos que algo esté mal.
06
Producir evidencia de unrevisión de seguridad
El cuestionario de seguridad de un cliente le pregunta si establece una política de seguridad de contenido. Un informe fechado que muestra qué encabezados devuelve cada host es una mejor respuesta que marcar una casilla y es evidencia que puedes conservar.
Conozca el día en que cambia su configuración
Una configuración HTTP no cambia gradualmente. Cambia en una implementación y el cambio es invisible en el navegador.
Los análisis programados convierten eso enuna diferencia que te cuentan: este encabezado desapareció, esta versión tecnológica retrocedió, esta nota bajó. Las alertas llegan a la aplicación, por correo electrónico o a través de Slack, Teams, Jira o un webhook.
Paso 01 · Nombra el objetivo
Un nombre de host o un dominio que usted controla, agregado a su cuenta AYAsec. La propiedad se verifica antes de enviar cualquier cosa: AYAsec no programará análisis en infraestructura sobre la cual no haya demostrado control y [demostrará que requiere un registro DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). La comprobación rápida anterior omite esto: sin cuenta, sin verificación, sólo limitación de velocidad de IP y una regla de que el objetivo tiene que ser público.DIRECCIÓN.
Paso 02 · Elige el perfil
Tres profundidades. Pasivo lee lo que devuelve el sitio sin sondearlo. Activo envía solicitudes de prueba para encontrar debilidades que solo aparecen debajo de ellas. Extendido va más allá nuevamente. Pasivo es seguro contra cualquier cosa; los perfiles más profundos son tráfico real y deben apuntar a lo que esperas que toquen.
Paso 03 · Leer el resultado
Los hallazgos llegan ordenados por gravedad y con calificaciones de A+ a F. HTTPtiene el peso más pesado en el grado compuesto - 30%, más que cualquier otra capa - porque es donde realmente vive la mayor parte de lo que se puede alcanzar.
Lo que comprueba el escaneo
01
Encabezados de seguridad
Cuáles están presentes, cuáles faltan y si los valores están haciendo lo que parecen estar haciendo. Un Content-Security-Policy que permite que todo esté presente y sea inútil.
02
Detección de tecnología
El servidor, el marco ybibliotecas que revelan las respuestas, con versiones donde se divulgan.
03
Vulnerabilidades web conocidas
Una vez que inicia sesión en el perfil activo o extendido, el escaneo funciona con OWASP ZAP, el escáner de aplicaciones web de código abierto mantenido por Open Worldwide Application Security Project y la herramienta con la que se mide esta categoría. La verificación rápida anterior permanece pasiva: sin ZAP, sin sondeo, solo se necesita una solicitud para leer elencabezados. HTTP es una de las cinco capas puntuadas. Los otros son TLS y puertos y DNS al 20 % cada uno, y la credibilidad del dominio al 10 %.
Preguntas antes de escanear
¿Qué puedo escanear?
Infraestructura de su propiedad o contratada para realizar pruebas. La verificación rápida anterior no verifica eso por usted: solo limita la velocidad por IP y se niega a apuntar a nada que no sea una dirección pública. Añadir el objetivo a unEn su lugar, cuenta con AYAsec y el control se verifica antes de que se ejecute cualquier cosa programada: un límite tanto legal como práctico, ya que un escaneo no verificado tampoco le sirve como evidencia.
¿El escaneo interrumpirá el sitio?
El perfil pasivo no lo hará: lee respuestas a solicitudes ordinarias. Los perfiles activo y extendido envían solicitudes de prueba por diseño, que es como encuentran cosas que las comprobaciones pasivas no pueden. Dirígelos a un entorno queestán dispuestos a ser investigados.
¿Es esta una prueba de penetración?
No, y no reemplaza a ninguno. Un análisis automatizado encuentra las clases de problemas que se pueden encontrar automáticamente. Un test de penetración es una persona que busca los que no pueden.
Utilizamos una CDN. ¿Estoy probando mi sitio o el de ellos?
Ambos, y eso vale la pena saberlo. Los encabezados que recibe un visitante son los que envía la CDN, quienquiera que los haya configurado. Si su origen establece un encabezado que la CDN elimina, elel visitante no lo entiende, y el escaneo le muestra lo que obtiene el visitante.
¿Realmente importan los encabezados que faltan?
Individualmente, a menudo no mucho. En conjunto, son la diferencia entre un navegador que defiende a sus usuarios y uno que hace todo lo que le dicen. También son la solución más barata para cualquier trabajo pendiente de seguridad, lo que hace que no sea bueno tenerlos todavía abiertos.
¿Conservas los resultados?
No es la comprobación rápida anterior: permanece en la memoria durante unos quince minutos para que puedas leerla una vez y luego desaparece. Se trata de una elección deliberada de privacidad, no de una limitación: nadie más que tú ve ese análisis y puedes descargar el resultado completo antes de que caduque. En su lugar, agregue el objetivo a una cuenta de AYAsec y cada escaneo se conserva: una serie que le indica qué implementación eliminó el encabezado. La retención depende de su plan.
Mantenga la historia, no soloel resultado
Ejecute el escáner completo en su propio patrimonio, según un cronograma, conservando cada resultado y marcando cada cambio.
Más escáneres de seguridad gratuitos para TLS, puertos y DNS
HTTP es una de las cinco capas puntuadas. Los demás responden cada uno a una pregunta diferente:
Escáner de puertos en línea: ¿qué está dispuesto a hablar este patrimonio con unextraño acerca de?
Comprobador SSL/TLS: ¿el cifrado es correcto y cuándo caduca el certificado?
Comprobador de seguridad DNS: ¿alguien puede enviar un correo que parezca enviado por usted?
Los cinco juntos son lo que gestión de la superficie de ataque significa en la práctica.
Datos estructurados para incrustar
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec HTTP Security Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/http-security-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}No añada el marcado FAQPage o HowTo - Google retiró ambos tipos de resultados.