Comprobador de precarga HSTS

• Verificación del estado de precarga de HSTS en tiempo real: consulte la API v2 oficial de hstspreload.org en tiempo real para verificar si un dominio está en la lista de precarga de Chrome/Chromium HSTS. La herramienta devuelve uno de cuatro estados: Precargado (en la lista), Pendiente (enviado y en espera de revisión), Rechazado (no cumplió con los requisitos) o No precargado (no en la lista). Cada estado incluye una explicación detallada de lo que significa para el dominio.
• Información detallada de precarga: más allá del estado básico, HSTS Preload Checker revela si el dominio se envió mediante envío masivo, el dominio precargado real (útil para subdominios cubiertos por una entrada principal) y el tiempo de respuesta de la consulta. Los resultados también incluyen un enlace directo a hstspreload.org para obtener más detalles y opciones de envío.
• Descripciones y orientación de estado inteligente: cada estado de precarga de HSTS viene con una explicación legible por humanos y una guía práctica. Si un dominio está precargado, la descripción explica la solidez de la aplicación. Si se rechaza, se enumeran los motivos comunes. Si no está precargado, se proporciona orientación sobre cómo enviar el dominio.
• Gratis y sin necesidad de registrarse: verifique tantos dominios como desee sin registro, sin clave API y sin límites de uso. HSTS Preload Checker consulta la API pública de hstspreload.org directamente desde su navegador; no se almacena ni registra ningún dato en nuestros servidores. Completamente gratis, para siempre.

• Auditoría de seguridad y cumplimiento: los profesionales de seguridad utilizan HSTS Preload Checker para verificar que los dominios de los clientes tengan la aplicación HTTPS más sólida posible. Incluir un dominio en la lista de precarga de HSTS garantiza que los navegadores nunca realizarán una solicitud HTTP sin cifrar a ese dominio, lo que protege contra ataques de degradación, eliminación de SSL y ataques de intermediario desde la primera visita.
• Verificación de protección del navegador: antes del lanzamiento de un sitio web importante, verifique que su dominio esté en la lista de precarga de Chrome/Chromium HSTS. A diferencia del HSTS controlado por el servidor (que requiere al menos una visita HTTP para conocer la política), los dominios precargados obtienen la aplicación de HTTPS a nivel del navegador en la primera conexión. Esto elimina la "vulnerabilidad de primera carga" que afecta las implementaciones HSTS estándar.
• Evaluación de preparación para la precarga: si su dominio aparece como "No precargado" o "Rechazado", utilice el Comprobador de precarga de HSTS para comprender el motivo. La herramienta explica los requisitos: certificado TLS válido, redireccionamiento permanente de HTTP a HTTPS, duración máxima ≥ 31,536,000 segundos (1 año), directiva includeSubDomains y directiva de precarga en el encabezado Strict-Transport-Security.
• Verificación de cobertura de subdominio: verifique si los subdominios están cubiertos por la entrada de precarga de un dominio principal. El comprobador de precarga de HSTS muestra si un dominio está cubierto a través de su dominio principal (por ejemplo, app.example.com cubierto por example.com). Esto es fundamental para verificar que todos los subdominios de su infraestructura tengan protección de precarga HSTS.
• Cumplimiento bancario y de comercio electrónico: los sitios de comercio electrónico, los bancos y cualquier sitio web que maneje datos confidenciales de los usuarios deben verificar el estado de precarga de HSTS. Estar en la lista de precarga es una fuerte señal para los usuarios y reguladores de que el sitio se toma en serio la seguridad HTTPS. Muchos marcos de seguridad (PCI DSS, NIST) recomiendan o exigen la aplicación de HSTS.
• Evaluación comparativa de seguridad competitiva: compare la adopción de precarga de HSTS entre los competidores de su industria. Compruebe si los principales competidores tienen sus dominios precargados y utilice los resultados para defender la implementación de la precarga HSTS en su organización. HSTS Preload Checker facilita la auditoría de cualquier dominio en segundos.

La lista de precarga HSTS es una lista codificada de nombres de dominio mantenida por Google y enviada con el código fuente del navegador Chrome/Chromium. También lo utilizan Firefox, Safari, Edge y Opera. Cuando un dominio está en esta lista, el navegador actualizará automáticamente todas las conexiones HTTP a HTTPS antes de enviar cualquier dato, incluso en la primera visita. Esto elimina la "vulnerabilidad de primera carga", donde un usuario podría ser atacado antes de recibir el encabezado HSTS del servidor.

1. HSTS controlado por servidor: cuando un navegador visita un dominio por primera vez, el servidor puede enviar un encabezado de respuesta de seguridad de transporte estricta. El navegador recuerda esta política durante el tiempo especificado por max-age. Cualquier visita futura dentro de ese período utilizará HTTPS. Sin embargo, la primera visita no está protegida: este es el "problema de la primera carga".
2. HSTS precargado: los dominios en la lista de precarga están protegidos desde la primera conexión. El navegador comprueba su lista interna antes de realizar cualquier conexión y se niega a enviar tráfico HTTP. No se necesita interacción con el servidor para activar la protección. Esta es la forma más sólida de aplicación de HTTPS disponible.
3. Precargado: para agregarse a la lista, un dominio debe cumplir requisitos estrictos: debe tener un certificado TLS válido, redirigir permanentemente HTTP a HTTPS e incluir un encabezado Strict-Transport-Security con una edad máxima ≥ 31,536,000 (1 año), includeSubDomains y la directiva de precarga. Luego, el dominio se envía a través de hstspreload.org para su revisión.

• Precargado: el dominio está en la lista de precarga del navegador. Todos los subdominios se actualizan automáticamente a HTTPS. Esto se indica mediante una insignia de escudo verde.
• Pendiente: el dominio se envió a hstspreload.org y está esperando revisión. El proceso de revisión verifica que el dominio cumpla con todos los requisitos de precarga. Este estado se indica mediante una insignia de escudo amarilla.
• Rechazado: el dominio se envió pero no cumplió con los requisitos de precarga. Los motivos comunes incluyen una edad máxima insuficiente, falta de includeSubDomains o un punto final HTTP que no redirige a HTTPS. Este estado se indica mediante una insignia de escudo rojo.
• No precargado: el dominio no está en la lista de precarga y no se ha enviado. Este es el estado predeterminado para la mayoría de los dominios. Este estado se indica mediante una insignia de escudo gris.

Agregar un dominio a la lista de precarga de HSTS es un compromiso importante. Debido a que la lista está codificada en el código fuente del navegador, eliminarla de la lista puede llevar meses; requiere un ciclo de actualización del navegador. Una vez que se carga previamente un dominio, el navegador se negará a conectarse a través de HTTP, incluso si el servidor deja de admitir HTTPS. Esto significa que debe mantener la compatibilidad con HTTPS para su dominio indefinidamente después de la precarga. Los propietarios de dominios solo deben enviar a la lista de precarga después de asegurarse de que su sitio y todos los subdominios tengan configuraciones HTTPS sólidas y permanentes. Para probar y preparar subdominios, considere usar dominios separados que no estén precargados.