Guía de uso
Qué es
Pega la salida de curl -I https://tu-sitio, o las cabeceras de respuesta que copian las herramientas de red del navegador, y dice qué falta o está mal: CSP (también si está solo en modo informe o se fía de una lista de dominios), HSTS, las banderas y los prefijos de las cookies (Secure, HttpOnly, SameSite, __Host-), CORS, COOP, Permissions-Policy y el resto de cabeceras de seguridad habituales.
La nota
La letra sale SOLO de cuántos hallazgos hay de cada gravedad, para que puedas rehacerla mirando la lista: F con algo crítico, D con 3 o más altos, C con 1 o 2 altos, B con 4 o más avisos, A con 1 a 3 y A+ sin ninguno (los «info» no cuentan). Mozilla Observatory da otra letra restando puntos por prueba, y su propia documentación reconoce que esos pesos son arbitrarios; aquí no hay pesos que justificar.
Para generar tus propias cabeceras
Esta tool AUDITA lo que un sitio ya está mandando. Si quieres la configuración de nginx o Apache para tu propio proyecto, usa la tool de configuración SPA.
¿Cómo sabe si es HTTPS?
Las cabeceras de respuesta no repiten el esquema de la petición. Si pegas la línea del comando (curl -I https://…) o la URL sola, se detecta de ahí; si no hay ninguna pista, se asume HTTPS (el caso real más común) — y puedes corregirlo a mano con el interruptor.
