En-t?tes HTTP & CORS

Développement

Concepteur et auditeur d'en-t?tes de s?curit? CSP, HSTS et CORS

S'exécute dans votre navigateur
Rien n'est envoyé sur un serveur
Sans inscription

Nivel de seguridad web

Excelente (A+)100%

10 cabeceras de protección activadas

Strict-Transport-Security (HSTS)

Incluir subdominiosHabilitar precarga (preload)

Clickjacking y tipos MIME

X-Frame-Options

X-Content-Type-Options: nosniff

Referrer-Policy

Cabeceras CORS

Access-Control-Allow-Origin

Métodos permitidos

Permitir credenciales

Content-Security-Policy (CSP)

Directivas

Configuración generada

Pega esto en la configuración de tu servidor

// next.config.mjs
/** @type {import('next').NextConfig} */
const nextConfig = {
  async headers() {
    return [
      {
        source: '/:path*',
        headers: [
          {
            key: 'Strict-Transport-Security',
            value: "max-age=31536000; includeSubDomains; preload",
          },
          {
            key: 'X-Frame-Options',
            value: "SAMEORIGIN",
          },
          {
            key: 'X-Content-Type-Options',
            value: "nosniff",
          },
          {
            key: 'Referrer-Policy',
            value: "strict-origin-when-cross-origin",
          },
          {
            key: 'Permissions-Policy',
            value: "camera=(), microphone=(), geolocation=(), browsing-topics=()",
          },
          {
            key: 'Access-Control-Allow-Origin',
            value: "https://tecnocrypter.com",
          },
          {
            key: 'Access-Control-Allow-Methods',
            value: "GET, POST, PUT, DELETE, OPTIONS",
          },
          {
            key: 'Access-Control-Allow-Headers',
            value: "Content-Type, Authorization, X-Requested-With",
          },
          {
            key: 'Access-Control-Allow-Credentials',
            value: "true",
          },
          {
            key: 'Content-Security-Policy',
            value: "default-src 'self'; script-src 'self' 'unsafe-inline' https:; style-src 'self' 'unsafe-inline' https:; img-src 'self' data: blob: https:; font-src 'self' data: https:; connect-src 'self' https: wss:; frame-ancestors 'self';",
          },
        ],
      },
    ];
  },
};

export default nextConfig;

Constructor de Cabeceras HTTP de Seguridad y CORS

Configura visualmente las cabeceras de seguridad que protegen tu web (HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Content-Security-Policy) y las de CORS, y obtén la configuración lista para Next.js, Nginx, Caddy o Apache.

Cada opción suma a un indicador de nivel de seguridad orientativo (A+/B/C) similar al de securityheaders.com, para que veas el impacto de activar o desactivar cada cabecera.

Todo se genera en tu navegador. No se prueba tu dominio real ni se envía nada a ningún servidor.

Comment ça marche?

Ajusta las cabeceras
Activa HSTS, CSP, CORS y el resto según tus necesidades.
Elige el servidor
Next.js, Nginx, Caddy, Apache o formato raw.
Copia o descarga
Pega el bloque en tu configuración y despliega.

Questions Fréquentes

¿Debo activar HSTS preload?

Solo si estás seguro de servir siempre por HTTPS en el dominio y todos sus subdominios. Salir de la lista preload de los navegadores lleva meses.

¿Por qué mi CSP rompe la página?

Suele faltar una fuente en script-src o style-src. Empieza en modo Content-Security-Policy-Report-Only, revisa los informes y ajusta antes de forzarla.

¿Access-Control-Allow-Origin: * con credenciales?

No es válido. Si permites credenciales, el origen debe ser explícito, no el comodín.

Outils Connexes

Verificador de DNS Escaneo de Puertos Conversor cURL Verificador de URLs

Voir tous les outils