¿Qué es HSTS y por qué protege las conexiones HTTPS?
Publicado el 2026-10-26 por frfrand
HSTS explicado: cómo obliga al navegador a usar HTTPS, riesgos de configuración y cuándo conviene activar preload.
HSTS (HTTP Strict Transport Security) es una política que le indica al navegador que debe conectarse a un dominio mediante HTTPS durante un tiempo definido. Sirve para reducir el riesgo de que alguien fuerce una conexión HTTP insegura después de que el navegador haya recibido la política.
Una forma sencilla de entenderlo
Imaginá que visitás un banco y un empleado te recuerda que solo debés entrar por una puerta vigilada. Cuando regresás, tu navegador aplica esa regla sin esperar a que el servidor vuelva a redirigirte. HSTS guarda una preferencia de seguridad para el dominio; no crea el certificado ni sustituye TLS.
¿Cómo funciona en la práctica?
El servidor HTTPS envía una cabecera como Strict-Transport-Security: max-age=31536000. El navegador compatible recuerda la política durante ese plazo. Opcionalmente puede incluir includeSubDomains y existe un mecanismo de listas precargadas o preload. Son decisiones distintas con consecuencias reales: afectar subdominios o entrar en una lista precargada requiere planificación.
Lo que no resuelve y sus límites
Una conexión HTTP inicial, antes de conocer la política, puede tener ciertos riesgos; el preload busca reducir ese problema para dominios incluidos. HSTS no impide que el usuario entregue datos a un dominio falso con HTTPS ni arregla una aplicación vulnerable. Si tu certificado caduca o un subdominio no soporta HTTPS, una política demasiado agresiva puede impedir el acceso. No actives includeSubDomains sin inventariar todas las aplicaciones.
Cómo aplicarlo y comprobarlo sin sorpresas
Comprobá primero que el dominio y los subdominios afectados funcionan correctamente con HTTPS. Verificá que las redirecciones y certificados estén vigentes; aplicá inicialmente una duración menor si necesitás evaluar el comportamiento antes de ampliarla. Recordá que eliminar la cabecera en el servidor no borra inmediatamente políticas ya almacenadas en los navegadores.
¿Cómo aparece en ArduMaker?
En una aplicación alojada en un VPS de ArduMaker podés configurar esta cabecera mediante Nginx o el servidor web correspondiente, siempre que tengas HTTPS correctamente operativo. Es una medida complementaria, no un reemplazo de gestionar certificados.
Un ejemplo de configuración responsable
Antes de habilitar HSTS en un dominio que contiene varios subdominios, inventariá servicios antiguos, herramientas de administración y servidores de pruebas. Es posible que una subaplicación todavía no tenga certificados válidos. Comprobá que todas las rutas críticas funcionan por HTTPS desde un navegador limpio. Si pensás solicitar preload, leé sus condiciones oficiales: revertir una inclusión puede ser lento. Registrá quién cambió la política y cómo se comprobará durante renovaciones de certificados.
¿Qué observar cuando algo falla?
Si un visitante no puede abrir un sitio por un error de certificado, investigá el nombre del dominio, la cadena de certificados y la fecha de caducidad. No le pidas desactivar advertencias para entrar. Ese atajo oculta el problema y puede reducir la seguridad.
Para recordar
HSTS (HTTP Strict Transport Security) es una política que le indica al navegador que debe conectarse a un dominio mediante HTTPS durante un tiempo definido. Entender cuándo se aplica, cómo falla y qué datos revisar es más útil que memorizar comandos sueltos.
Para ampliar: MDN: Strict-Transport-Security.