2026-09-05
Cómo elegir las cabeceras de seguridad: cuáles siguen haciendo falta, cuáles están obsoletas y cuáles hacen daño
Más cabeceras no es mejor. Sepáralas en tres grupos: las que siguen siendo eficaces (CSP, HSTS, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy), las obsoletas (Expect-CT está prácticamente obsoleta desde junio de 2021) y las que hacen daño activamente (MDN marca X-XSS-Protection como obsoleta y no estándar y advierte de que puede crear vulnerabilidades XSS en sitios por lo demás seguros). Si copias una lista desactualizada, importas los ajustes dañinos junto con los buenos.