Guía de Seguridad WordPress: Configuración de cabeceras HTTP de seguridad

Muchos dueños de sitios web de WordPress creen que un simple plugin de seguridad es suficiente para proteger su negocio. Sin embargo, la seguridad más robusta se define a nivel de protocolo de red. En esta guía te enseñamos a configurar las **cabeceras HTTP de seguridad** para bloquear intentos de hackeo antes de que toquen tu código.

📋 ¿Qué son las cabeceras HTTP de seguridad?

Son directivas que tu servidor envía al navegador del usuario, indicándole cómo comportarse y qué recursos tiene permitido ejecutar. Protegen tu web contra inyecciones de código malicioso, secuestros de click (Clickjacking) y robos de cookies.

---

🛠️ Paso 1: Configurar cabeceras en el archivo .htaccess

Si tu servidor utiliza Apache o LiteSpeed, agrega el siguiente código al final de tu archivo .htaccess:

<IfModule mod_headers.c>
  # Bloquear Clickjacking
  Header always set X-Frame-Options "SAMEORIGIN"
  # Prevenir XSS (Cross-Site Scripting)
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-XSS-Protection "1; mode=block"
  # Forzar uso exclusivo de HTTPS (HSTS)
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
  # Referrer Policy segura
  Header always set Referrer-Policy "no-referrer-when-downgrade"
</IfModule>

🛠️ Paso 2: Configurar Content Security Policy (CSP)

La cabecera Content-Security-Policy (CSP) es la más potente: define qué fuentes de Javascript, CSS e imágenes son válidas para cargarse en tu web. Esto neutraliza por completo inyecciones externas de mineros de criptomonedas o scripts espía.

⚡ Soporte Técnico y Uptime

Configurar mal estas cabeceras puede desconfigurar pasarelas de pago o llamadas API externas de HubSpot o Google Maps. Por ello, es crucial implementarlas en entornos de prueba y monitorear los logs de consola periódicamente.