Cada vez que alguien abre tu tienda, el servidor envía, además de la página, unas líneas que nadie ve: las cabeceras HTTP. Algunas le dicen al navegador cómo proteger a tus clientes. Otras cuentan a cualquiera qué versión de PHP o de servidor usas. Revisarlas lleva un minuto.
Las cabeceras que conviene tener
- Strict-Transport-Security (HSTS): obliga al navegador a entrar siempre por HTTPS.
- X-Content-Type-Options: nosniff: impide que el navegador interprete un fichero como algo que no es.
- X-Frame-Options (o
frame-ancestorsen la política de contenido): impide que otra web meta tu tienda dentro de un marco. - Referrer-Policy: controla qué parte de tus URLs se envía a otras webs cuando un cliente hace clic hacia fuera.
Las que sobran
- X-Powered-By con la versión de PHP — no aporta nada al cliente y le dice a cualquiera qué versión exacta tienes.
- Server con versión o panel de hosting — lo mismo: información gratis para quien busca tiendas con versiones conocidas.
Cómo comprobarlo
- Abre tu tienda en Chrome, pulsa F12, pestaña «Red», recarga y haz clic en la primera petición (la de tu dominio). En «Encabezados de respuesta» están todas.
- O desde una terminal:
curl -sI https://tutienda.com/ - Revisa también que la página no cargue nada por
http://(imágenes, scripts o fuentes): es contenido mixto y el navegador lo bloquea o avisa.
Cómo se arregla en PrestaShop
- En Apache, en el .htaccess de la raíz, fuera del bloque que regenera PrestaShop (entre
# ~~start~~y# ~~end~~). Lo que pongas dentro se pierde la próxima vez que guardes los ajustes de URLs. - En hosting con Nginx o con panel (Plesk, cPanel), en la configuración del dominio. Si no tienes acceso, se lo pides a tu hosting: es un cambio pequeño.
- X-Powered-By se quita en PHP (
expose_php = Off), normalmente desde el panel del hosting. - Empieza con HSTS de duración corta y súbela cuando compruebes que todo va por HTTPS.
Sin cabeceras y con versiones a la vista
La tienda funciona igual, pero no aprovecha protecciones gratuitas del navegador y enseña datos que no necesita enseñar.
Cuatro líneas bien puestas
El navegador protege a tus clientes, nadie ve tus versiones y no hay nada que mantener: se configura una vez.
Preguntas frecuentes
¿Las cabeceras de seguridad mejoran el SEO?
No directamente. HTTPS sí cuenta para Google; el resto protege a tus clientes y a la tienda.
¿Puedo romper algo añadiéndolas?
Las cuatro de arriba, bien escritas, casi nunca. La que más cuidado pide es una política de contenido (CSP) completa: si la pones estricta sin probar, puede bloquear scripts de pasarelas de pago o de analítica.
¿Esto sustituye a mantener PrestaShop y los módulos actualizados?
No. Las cabeceras son una capa más. Lo primero sigue siendo tener las versiones al día.
En la Auditoría Exprés revisamos las cabeceras, el HTTPS, el contenido mixto y las versiones con avisos de seguridad publicados, dentro de sus 55 comprobaciones.
Ver la Auditoría Exprés →Zeyvro desarrolla módulos para PrestaShop 8 desde una tienda real en producción. Código sin ofuscar.