La herramienta de comprobación HTTPS permite revisar la configuración HTTPS y el estado básico de seguridad de un sitio web. Introduce una URL o dominio para comprobar el certificado TLS, las redirecciones HTTP a HTTPS y varias cabeceras de seguridad.
Además del certificado SSL/TLS, la herramienta analiza la redirección HTTP a HTTPS, HSTS (Strict-Transport-Security), X-Frame-Options, Content-Security-Policy y posibles contenidos mixtos HTTP dentro de páginas HTTPS.
La herramienta muestra el estado del certificado, los días restantes, el emisor, el sujeto y el número de SAN para comprobar la validez del certificado HTTPS.
Comprueba si las solicitudes HTTP se redirigen automáticamente a HTTPS. Una redirección incorrecta puede dejar accesos sin cifrar disponibles.
HSTS, o HTTP Strict Transport Security, permite indicar a los navegadores que utilicen HTTPS. Una configuración adecuada ayuda a reducir el riesgo de accesos HTTP y ataques de degradación de protocolo.
X-Frame-Options es una cabecera de seguridad que controla si una página puede cargarse dentro de un frame o iframe de otro sitio y ayuda a reducir el riesgo de clickjacking.
Content-Security-Policy (CSP) limita las fuentes desde las que el navegador puede cargar o ejecutar recursos y puede reducir determinados riesgos de XSS e inyección de recursos.
El contenido mixto aparece cuando una página HTTPS carga recursos mediante HTTP, como imágenes, JavaScript, CSS o recursos externos. Se recomienda utilizar HTTPS para todos los recursos.
https://example.com o solamente example.com.Los resultados contienen varios controles independientes. Un certificado válido no significa que toda la configuración HTTPS sea correcta. También deben revisarse las redirecciones, HSTS, cabeceras de seguridad y contenido mixto.
Indica que el certificado TLS devuelto por el servidor está dentro de su periodo de validez en el momento de la comprobación.
Un código HTTP 0 normalmente indica que no se obtuvo una respuesta HTTP válida. No significa por sí solo que el sitio no tenga configurada una redirección HTTPS; deben revisarse también la conexión y las condiciones de la comprobación.
Si la solicitud HTTPS falla, es posible que la herramienta no pueda analizar HSTS, X-Frame-Options, Content-Security-Policy o contenido mixto. Primero debe comprobarse la conectividad HTTPS y la configuración TLS.
HTTPS utiliza TLS para cifrar la comunicación entre cliente y servidor y los certificados digitales ayudan a verificar la identidad del servidor. Es una medida básica de seguridad para sitios web, inicios de sesión, API y datos sensibles.
Si un sitio ofrece HTTP y HTTPS, normalmente conviene redirigir las solicitudes HTTP a HTTPS mediante un código 3xx adecuado.
Después de comprobar que HTTPS funciona correctamente y que todos los recursos son compatibles con HTTPS, se puede considerar habilitar HSTS para reducir futuras conexiones HTTP.
La comprobación SSL se centra principalmente en el certificado X.509. La comprobación HTTPS tiene un alcance más amplio e incluye redirecciones HTTP, HSTS, cabeceras de seguridad y contenido mixto.
Utiliza esta herramienta cuando quieras comprobar si la implementación HTTPS de un sitio está completa. Para consultar solamente los detalles del certificado o su fecha de caducidad, utiliza las herramientas específicas de certificados SSL.
No. Solo indica que el certificado está dentro de su periodo de validez. La seguridad HTTPS también depende de TLS, redirecciones, HSTS, cabeceras, recursos y configuración de la aplicación.
Si la página HTTPS no puede solicitarse correctamente, no se pueden obtener sus cabeceras HTTP completas y por tanto tampoco verificar HSTS.
Una causa habitual es que imágenes, scripts, hojas de estilo, fuentes u otros recursos externos todavía utilicen direcciones HTTP. Deben actualizarse a HTTPS cuando sea posible.
El servidor puede responder de forma diferente según la IP del cliente, User-Agent, SNI, nodo CDN o entorno de red. Además, el navegador puede aplicar caché o políticas HSTS existentes.
La herramienta es adecuada para administradores web, desarrolladores, operadores de servidores y profesionales de seguridad que necesitan revisar rápidamente la configuración HTTPS.
Comentarios 0