Qué hacen las cabeceras de seguridad
Con cada página, un sitio envía al navegador unas instrucciones invisibles: las cabeceras HTTP. Algunas le piden al navegador que no muestre el sitio dentro de un marco en otro sitio, que limite la información que se transmite a otros sitios o que bloquee funciones de riesgo. En las páginas públicas, WordPress casi no envía ninguna.
Para saber para qué sirve cada cabecera, consulta nuestra definición de las cabeceras de seguridad HTTP. Para elegir los valores y probarlos tú mismo, sigue nuestra guía cómo configurar las cabeceras de seguridad HTTP en WordPress.
WP Masquerade Pro las añade a las páginas públicas, a la página de acceso y a la administración. Se configuran en la pestaña Protección, tarjeta «Cabeceras de seguridad».
| Cabecera | Efecto |
|---|---|
X-Frame-Options: SAMEORIGINActivada por defecto | Otros sitios no pueden mostrar tus páginas dentro de un marco (protección contra el clickjacking). Tus entradas se pueden seguir incrustando en otros sitios WordPress (oEmbed). |
Referrer-PolicyActivada por defecto | Los demás sitios solo conocen tu nombre de dominio, no la dirección completa de la página de la que viene el visitante (strict-origin-when-cross-origin). |
Permissions-PolicyActivada por defecto | Se deniega la cámara, el micrófono y el USB al sitio y a los contenidos incrustados. La geolocalización y el pago siguen permitidos: los localizadores de tiendas y los botones de Stripe, Apple Pay o Google Pay los necesitan. |
Content-Security-PolicyOpcional | Política básica: prohíbe los plugins del navegador (<object>, <embed>) y la modificación de la dirección base; en HTTPS, pasa a HTTPS los recursos no seguros. No restringe los scripts. |
Strict-Transport-Security (HSTS)Opcional | Los navegadores se niegan a abrir el sitio sin HTTPS durante un año (max-age=31536000), y opcionalmente en todos los subdominios. |
Por qué es útil
Estas cabeceras no hacen invulnerable un sitio. Cierran riesgos del lado del navegador que WordPress deja abiertos: una página mostrada sin que lo sepas dentro del marco de otro sitio, direcciones de páginas transmitidas completas a sitios externos, funciones sensibles al alcance de los contenidos incrustados. De hecho, las herramientas de auditoría de seguridad en línea son lo primero que comprueban.
Qué incluye Función Pro
- Tres cabeceras sin riesgo activadas de serie: X-Frame-Options, Referrer-Policy y Permissions-Policy.
- CSP básica y HSTS opcionales, cada una con su advertencia en la interfaz.
- Respeto por lo que ya existe: nunca se sobrescribe una cabecera ya definida por WordPress, por otro plugin o por la vista previa del personalizador.
- Botón «Comprobar la página de inicio»: el sitio consulta su propia página de inicio y muestra las cabeceras que se reciben realmente, sea cual sea su origen (PHP, servidor, CDN).
- Interruptor de emergencia:
define('CMP_DISABLE_HEADERS', true);en wp-config.php detiene el envío de las cabeceras.
Cómo configurarlas
- Abre WP Masquerade → Protección (el icono de máscara del menú de administración), tarjeta «Cabeceras de seguridad». Las tres primeras cabeceras ya están marcadas.
- Guarda, vacía la caché de páginas y haz clic en Comprobar la página de inicio: la tabla indica el valor recibido para cada cabecera, o «Ausente».
- Opcional: activa la CSP básica y revisa las páginas que muestran PDF incrustados o contenidos antiguos.
- Opcional, y solo si todo tu sitio funciona en HTTPS de forma permanente: activa HSTS. Añade los subdominios solo si todos están en HTTPS.
Límites y precauciones
- Páginas en caché: las cabeceras las envía WordPress. Una página servida directamente por una caché de servidor o una CDN, sin pasar por WordPress, puede no llevarlas. Tampoco se gestionan aquí las cabeceras definidas en la configuración del servidor. La comprobación muestra lo que reciben de verdad tus visitantes.
- HSTS es difícil de deshacer: una vez recibida la cabecera, el navegador se niega a abrir el sitio sin HTTPS durante un año, aunque después desactives la opción. HSTS nunca se envía por HTTP simple.
- La CSP propuesta es básica a propósito: no restringe los scripts y, por tanto, no protege contra la inyección de scripts (XSS). Desactiva las vistas previas de PDF incrustadas del bloque Archivo.
- Una configuración más estricta (CSP a medida, otras cabeceras) se hace en la configuración del servidor o de la CDN; WP Masquerade Pro no la sobrescribirá.
Empieza gratis y pasa a Pro cuando estés listo
La versión gratuita ya oculta WordPress, cambia la dirección de la página de acceso, bloquea XML-RPC y cuenta los robots. Pro blinda los accesos, renombra las direcciones de los archivos y vigila tus sitios por ti: vulnerabilidades conocidas, integridad del núcleo, registro de actividad, alertas por correo y estado de las actualizaciones de todos tus sitios en tu área de cliente. Desde 59 € al año sin IVA, mucho menos que las ofertas de limpieza cuyos precios hemos consultado. Comparar los costes.
