headers.security_csp
Que la página envíe una política de seguridad de contenido (CSP).
Por qué importa
La política de seguridad de contenido (CSP) limita de dónde puede cargar scripts y recursos la página, y reduce el daño de ataques que inyectan código. No influye directamente en el posicionamiento.
Cómo se corrige
Añade la cabecera Content-Security-Policy en el servidor o la CDN. Empieza en modo informe (Content-Security-Policy-Report-Only) para no romper nada y endurécela poco a poco.
Paso a paso: el prompt para tu IA
Cuando Seotres encuentra este problema en tu web, te da un prompt listo para pegar en la IA que uses, con los datos de tu página. Este es el de esta regla con una web de ejemplo (tudominio.com):
Problema: la respuesta no incluye la cabecera Content-Security-Policy.
Datos de tu web: Aquí van la página y la evidencia que ha encontrado Seotres.
Objetivo
Añadir a tudominio.com una Content-Security-Policy que no rompa la web: empieza en modo de solo informe (Content-Security-Policy-Report-Only).
Pasos
- Haz una lista de los dominios de los que la web carga scripts, estilos, fuentes e imágenes (analítica, fuentes, chat, pagos…).
- Propónme una política inicial en modo Report-Only y explícame qué permite cada parte antes de aplicarla.
- Si la web es código propio o un servidor que gestionas: añádela en la configuración del servidor (Nginx, Apache…), del CDN o del framework (por ejemplo, la configuración de cabeceras de Next.js o de tu alojamiento).
- Si usas WordPress: suele ponerse desde el alojamiento, desde un plugin de seguridad o de caché, o en el archivo .htaccess si el servidor es Apache.
- Si usas Shopify, Wix, Squarespace u otra plataforma cerrada: las cabeceras las controla la plataforma y normalmente no se pueden cambiar; si es así, dímelo en vez de buscar trucos.
Límites
- No pases la política a modo obligatorio sin que te lo confirme: una CSP mal hecha puede romper la web.
Antes de volver a Seotres
Para comprobarlo antes de volver a Seotres, mira las cabeceras de la respuesta en las herramientas para desarrolladores del navegador (pestaña Red).
Términos de esta regla
- CSP
Política que dice al navegador de dónde puede cargar scripts, estilos e imágenes tu página, y bloquea el resto.
Ejemplo: «Content-Security-Policy: script-src 'self'» solo deja ejecutar scripts de tu propio dominio.
- Cabeceras HTTP
Datos que el servidor envía junto a cada página, sin que se vean en ella: tipo de archivo, caché, seguridad…
Ejemplo: «Content-Encoding: gzip» indica que la página viaja comprimida.
Fuente: MDN Web Docs: cabeceras HTTP
Fuente oficial
https://cheatsheetseries.owasp.org/cheatsheets/Content_Security_Policy_Cheat_Sheet.html