Ver las cabeceras HTTP de una web

Cada vez que pides una página, el servidor responde con un código de estado (200, 301, 404…) y una lista de cabeceras antes del contenido. Las cabeceras no se ven en la página, pero deciden muchas cosas: el tipo de contenido, cuánto tiempo guardarlo en caché, las cookies, la compresión, las redirecciones y las reglas de seguridad que el navegador debe aplicar.

Revisarlas sirve para depurar redirecciones, comprobar la caché de una CDN, verificar que una web obliga a usar HTTPS o auditar su seguridad.

• 200 OK: la página existe y se entrega.
• 301 Moved Permanently: redirección permanente. Es la que conviene para SEO al cambiar una URL, porque traspasa su posicionamiento.
• 302 Found y 307 Temporary Redirect: redirecciones temporales. Los buscadores mantienen la URL original.
• 308 Permanent Redirect: como la 301, pero conservando el método (POST sigue siendo POST).
• 403 Forbidden: el servidor se niega a servirla (a veces porque bloquea robots).
• 404 Not Found: no existe.
• 500 y 503: error del servidor o servicio no disponible.

Una buena configuración hace una sola redirección de http://ejemplo.com a https://www.ejemplo.com (o al revés), no una cadena de varias.

• Strict-Transport-Security (HSTS): obliga a usar HTTPS durante el tiempo indicado. Valor típico: max-age=31536000; includeSubDomains.
• Content-Security-Policy: lista de orígenes permitidos para scripts y recursos. Es la más potente y la más delicada de configurar; empieza con Content-Security-Policy-Report-Only.
• X-Content-Type-Options: nosniff.
• X-Frame-Options: DENY o SAMEORIGIN (o frame-ancestors en la CSP).
• Referrer-Policy: strict-origin-when-cross-origin es un buen equilibrio.
• Permissions-Policy: desactiva lo que no uses, por ejemplo camera=(), microphone=(), geolocation=().

Además, conviene ocultar Server y X-Powered-By, que solo dan pistas a un atacante.

Pedimos la página desde nuestro servidor con una petición GET normal, leemos solo las cabeceras (no descargamos el contenido) y seguimos hasta cinco redirecciones. Por seguridad, solo consultamos direcciones públicas en los puertos 80, 443, 8080 y 8443, y nunca la red interna.

Ten en cuenta que algunos servidores responden distinto según quién pregunte: una CDN puede devolver otra caché según el país, y algunas webs bloquean las peticiones automáticas con un 403. Si ves algo raro, compáralo con la pestaña Red de las herramientas de desarrollo de tu navegador.