SecurityHeaders.com
What it is — SecurityHeaders.com (created by Scott Helme) analyses any website's HTTP security headers and grades it from A+ to F: it checks
Content-Security-Policy,Strict-Transport-Security,X-Frame-Options,X-Content-Type-Options,Referrer-Policyand several more.
| Type | Free web service |
| Cost | Free |
| URL | securityheaders.com |
How to use it
Enter the URL and get the report in seconds. It can also be checked from the command line without the site:
curl -sI https://target.com | grep -iE 'content-security-policy|strict-transport|x-frame|x-content-type'A low grade isn't an exploitable vulnerability by itself, but it points out where defence layers are missing: without
CSP, a reflected XSS that would otherwise be mitigated becomes fully exploitable; withoutX-Frame-Options, the site is vulnerable to clickjacking.
What I use it for
- Quick triage in bug bounty: a 10-second check that tells me whether it's worth digging for XSS (without CSP, the impact of finding one is much higher) or whether there are protections that will limit its exploitability.
- Report context: when reporting an XSS, mentioning the lack of CSP helps justify severity to the program's triager.
- Comparing before/after: after reporting something and it getting fixed, I re-check the headers to confirm the fix actually shipped.
Link
Qué es — SecurityHeaders.com (creado por Scott Helme) analiza las cabeceras HTTP de seguridad de cualquier web y te da una nota de A+ a F: comprueba
Content-Security-Policy,Strict-Transport-Security,X-Frame-Options,X-Content-Type-Options,Referrer-Policyy varias más.
| Tipo | Servicio web gratuito |
| Coste | Gratis |
| URL | securityheaders.com |
Cómo se usa
Introduces la URL y en segundos tienes el informe. También se puede consultar por línea de comandos sin pasar por la web:
curl -sI https://objetivo.com | grep -iE 'content-security-policy|strict-transport|x-frame|x-content-type'Una nota baja no es una vulnerabilidad explotable por sí sola, pero señala dónde faltan capas de defensa: sin
CSP, un XSS reflejado que de otro modo sería mitigado se vuelve totalmente explotable; sinX-Frame-Options, el sitio es vulnerable a clickjacking.
Para qué lo uso yo
- Triage rápido en bug bounty: una comprobación de 10 segundos que me dice si vale la pena buscar XSS a fondo (sin CSP, el impacto de encontrar uno es mucho mayor) o si hay protecciones que limitarán su explotabilidad.
- Contexto para el informe: cuando reporto un XSS, mencionar la ausencia de CSP ayuda a justificar la severidad ante el triager del programa.
- Comparar antes/después: tras reportar y que arreglen algo, vuelvo a comprobar las cabeceras para confirmar que el fix realmente se desplegó.