Proteger tu WordPress contra Clickjacking y MITM

En el ecosistema de la ciberseguridad web, no basta con tener un código limpio; es fundamental comunicarse correctamente con el navegador del usuario.

Las Cabeceras de Seguridad HTTP actúan como una capa de defensa invisible que instruye al navegador sobre cómo comportarse ante posibles amenazas, bloqueando ataques antes de que lleguen siquiera a procesarse en el DOM.

#X-Frame-Options: Contra el secuestro de clics

El *Clickjacking* ocurre cuando un sitio malicioso carga tu web dentro de un iframe invisible para engañar al usuario y que haga clic en botones de tu sitio sin saberlo. Al configurar X-Frame-Options: SAMEORIGIN, le indicas al navegador que solo tú tienes permiso para incrustar tu propia web, invalidando cualquier intento externo de «secuestro visual».

#HSTS: El compromiso con HTTPS

La cabecera Strict-Transport-Security (HSTS) es una de las mñas potentes. Informa al navegador que, durante el próximo año (max-age), nunca debe intentar conectar con tu sitio a través de HTTP básico. Esto elimina la vulnerabilidad de la redirección inicial y protege contra ataques de *Man-in-the-Middle* (MITM) que intentan degradar la conexión a una versión no cifrada.

#X-Content-Type-Options: La muerte del Sniffing

Por defecto, los navegadores intentan ser «inteligentes» y adivinar el tipo de contenido si la cabecera no está clara. Un atacante podría subir un archivo `.jpg` que en realidad contiene código JavaScript. Con nosniff, forzamos al navegador a respetar estrictamente el tipo de contenido declarado por el servidor, bloqueando la ejecución de estos scripts camuflados.

Consideremos el caso de una plataforma técnica que sufría intentos constantes de inyección de scripts. Los desarrolladores integraron un sistema de cabeceras centralizado en su archivo de seguridad de WordPress:

// Archivo: inc/security.php

function github_theme_security_headers($headers) {
    $headers['X-Frame-Options'] = 'SAMEORIGIN';
    $headers['X-Content-Type-Options'] = 'nosniff';
    $headers['Referrer-Policy'] = 'strict-origin-when-cross-origin';
    
    if (is_ssl()) {
        $headers['Strict-Transport-Security'] = 'max-age=31536000; includeSubDomains; preload';
    }
    return $headers;
}
add_filter('wp_headers', 'github_theme_security_headers');

Tras esta actualización, la plataforma no solo se volvió inmune a tipos de ataque comunes en el navegador, sino que mejoró su fiabilidad y privacidad de cara a los usuarios finales y los auditores de seguridad.

#Resumen de Cabeceras Implementadas