HSTS: cómo comprobarlo, borrarlo del navegador y activarlo en WordPress

• El proyecto hstspreload.org permite comprobar el estado de HSTS en tu web y si tu navegador lo soporta. También sirve para dar de alta tu dominio, de modo que las próximas versiones de los navegadores principales traigan la cabecera HSTS por defecto y los visitantes se conecten siempre por HTTPS.

  • Otra herramienta útil: https://securityheaders.com/

Cómo borrar la caché HSTS del navegador

- **Chrome**: escribe <chrome://net-internals/#hsts en la barra.

- Pon el dominio en el campo de la sección "Delete domain security policies" y pulsa Delete.

- Escribe el dominio en la sección "Query HSTS" y pulsa Query.

- Debe responder "Not found".

- **Safari**: cierra el navegador.

- Borra el archivo ~/Library/Cookies/HSTS.plist

- Vuelve a abrir Safari.

- **Firefox**: cierra todas las pestañas.

- Abre el menú y entra en Historial / Mostrar todo el historial.

- Busca la página cuyas preferencias HSTS quieres eliminar.

- Haz clic derecho sobre una de sus entradas.

- Elige "Olvidar este sitio".

Activar HSTS con el plugin Redirection

Instala y activa el plugin Redirection y completa su asistente de instalación.

Ve a Herramientas -> Redirection y abre la pestaña Sitio.

Elige la opción “Añadir preajustes de seguridad”, como se ve en la imagen.

Tras seleccionarla, vuelve a hacer clic en la opción para que se añadan los ajustes. Quedará así:

Activar HSTS con el plugin Headers Security

https://wordpress.org/plugins/headers-security-advanced-hsts-wp/

Mediante código en el .htaccess

#Comienzo configuraciones Strict-Transport-Security Header set Strict-Transport-Security “max-age=31536000” env=HTTPS Header set X-XSS-Protection “1; mode=block” Header set X-Content-Type-Options nosniff Header set X-Frame-Options DENY Header set Referrer-Policy: no-referrer-when-downgrade #fin configuraciones Strict-Transport-Security