Cabeceras de seguridad que se añaden o quitan

Para cada cabecera de respuesta el proxy puede hacer cuatro cosas: añadirla si el destino no la manda, quitarla si el destino la manda y no debe salir, sobrescribirla con un valor propio o dejarla como viene. Las que más se añaden son Strict-Transport-Security (le dice al navegador que use solo HTTPS durante un tiempo; RFC 6797) y X-Content-Type-Options: nosniff (impide que el navegador adivine el tipo del contenido). Las que más se quitan son las que cuentan con qué software está hecho el servicio.

Las cabeceras no sustituyen a una aplicación bien hecha; reducen lo que un navegador permite o lo que un reconocimiento regala.

Los navegadores aplican una restricción: una página de un sitio no puede leer la respuesta de otro salvo que ese otro lo permita. Esa autorización se da con una cabecera de respuesta cuyo valor puede ser un origen concreto o un asterisco, que significa cualquiera. Para un servicio de datos públicos puede estar bien; para una API con datos de personas no.

Consulta la tabla cabeceras y mira las filas del servicio api.mandarina-editorial.example, en la categoría de acceso entre sitios.

Cache-Control: public autoriza a cualquier caché intermedia —un proxy compartido, una red de distribución de contenidos— a guardar la respuesta y entregarla a otras personas. Es lo correcto para una portada y un error serio para datos personales: lo que una persona vio puede servirse a la siguiente.

La tabla rutas_y_cache junta lo que sirve cada ruta con la instrucción pública de caché con que sale.

Quitar Server y X-Powered-By no vuelve seguro a un servicio, pero evita regalar el nombre y la versión de lo que corre detrás, algo que alguien con mala intención busca antes de probar nada. En la tabla cabeceras, la categoría revela tecnología agrupa estas cabeceras, y la columna valor_en_la_respuesta_publica muestra si el valor sale (un valor) o no ((ausente)).

Cuenta las filas de esa categoría cuyo valor sale a Internet.

Cuando el destino manda una cabecera y el proxy la sobrescribe con otra, la aplicación «cree» que lleva un valor y a Internet sale otro. En autores.mandarina-editorial.example, la aplicación manda un max-age de cinco minutos y el proxy lo cambia por un año. Si nadie lo documenta, el día que el proxy se reconfigure el comportamiento cambia sin que la aplicación haya tocado nada.