Falta HSTS

Por qué importa

Sin la cabecera HSTS, alguien en la misma red wifi abierta puede intervenir durante ese primer paso y enviar al visitante a una página falsa. Con HSTS, el navegador va directamente a https cada vez.

Cómo lo comprueba Snaglist

Esto forma parte de la comprobación de seguridad, una verificación independiente junto al rastreo, en Studio y Bureau, y solo en un sitio que hayas verificado. Snaglist solo examina lo que cualquier visitante puede ver desde fuera. Nunca inicia sesión, no adivina contraseñas ni envía ataques. Lee las cabeceras de respuesta de la página de inicio y verifica si está presente Strict-Transport-Security.

Causas habituales

• La cabecera nunca se activó
• El hosting no la añade por defecto
• Se desactivó tras un problema con un subdominio

Cómo solucionarlo

1. Asegúrate primero de que todo el sitio funcione con https.
2. Añade la cabecera Strict-Transport-Security con max-age=31536000.
3. Solo añade includeSubDomains si todos los subdominios funcionan con https.
4. Ejecuta de nuevo la comprobación de seguridad para confirmar.

Cómo aparece en el informe

En el informe para tu cliente, esto aparece bajo el encabezado "Los navegadores no recuerdan que tu sitio es seguro". Cuando todo está en orden, el informe indica: "Los navegadores recuerdan que el sitio es seguro (HSTS)".