Comprobador de cabeceras de respuesta HTTP

HTTP Strict Transport Security (HSTS) con la directiva preload indica a los navegadores que rechacen conexiones HTTP no cifradas y no permitan omitir errores de certificado. Cuando un invitado se conecta a la red WiFi e intenta abrir un dominio precargado con HSTS (como google.com), la intercepción HTTP del controlador inalámbrico no puede presentar un certificado válido para ese dominio. El navegador muestra una advertencia de SSL crítica en lugar de redirigir al portal cautivo. Las redes modernas utilizan la API de portal cautivo de la norma RFC 8908 o dominios de prueba de portal cautivo de Apple/Android (como captive.apple.com) que omiten intencionadamente HSTS.

Las páginas de inicio de los portales cautivos requieren una CSP equilibrada que permita los recursos de autenticación esenciales y, al mismo tiempo, evite el cross-site scripting (XSS). La política debe permitir scripts y estilos de CDN de confianza y proveedores de identidad de inicio de sesión social (como Google, Apple y Microsoft), al tiempo que restringe default-src 'self' y prohíbe la ejecución de scripts en línea no confiables. Además, los dominios de redirección de autenticación social deben incluirse en la lista blanca (Walled Garden) del controlador de red.

La cabecera X-Frame-Options: DENY o SAMEORIGIN (y la directiva moderna frame-ancestors de CSP) evita que sitios web de terceros maliciosos rendericen el formulario de inicio de sesión del portal cautivo dentro de un iframe invisible. Esto elimina los ataques de clickjacking en los que los atacantes engañan a los visitantes para que envíen credenciales de inicio de sesión o tokens de autorización social.

Los controladores de red heredados suelen utilizar una redirección HTTP 302 Found para redirigir las solicitudes HTTP iniciales a la URL de la página de inicio, pero los clientes pueden cambiar las solicitudes POST a GET. Una redirección temporal HTTP 307 garantiza que el método HTTP y el cuerpo de la solicitud permanezcan sin cambios durante la redirección. Para las redes cautivas modernas, la norma RFC 8908 proporciona un endpoint JSON estandarizado que elimina por completo la intercepción HTTP.

La cabecera X-Content-Type-Options: nosniff obliga a los navegadores a adherirse estrictamente al tipo MIME declarado en la cabecera Content-Type. Esto evita los ataques de MIME-sniffing en los que los archivos cargados por los usuarios o los fragmentos de texto maliciosos se ejecutan como JavaScript o CSS ejecutable en navegadores vulnerables.

Permissions-Policy (anteriormente Feature-Policy) permite a los operadores de sitios desactivar API de hardware sensibles, como la cámara, el micrófono, la geolocalización y la solicitud de pago dentro del contexto del navegador. Desactivar las funciones del dispositivo que no se utilizan en las páginas de destino de WiFi para invitados garantiza a los visitantes que el portal respeta los estándares de privacidad de datos.