Cabeceras de seguridad para Cloudflare Pages y sitios React
Cómo usar cabeceras de seguridad, metadatos canónicos y verificación de respuestas para reducir riesgos habituales del navegador en despliegues React estáticos.
Puntos clave
- Las cabeceras de seguridad deben tratarse como configuración de despliegue, no como comentarios en el código.
- Cloudflare Pages permite reglas de cabeceras estáticas que se pueden probar antes del release.
- Wildcard CORS suele ser demasiado amplio para respuestas estáticas públicas salvo que exista un caso cross-origin específico.
El conjunto base de cabeceras
Un sitio React endurecido debe definir explícitamente el comportamiento del navegador. La política exacta depende de la aplicación, pero la base suele incluir protección de tipo de contenido, protección contra clickjacking, control de referrer, permissions policy y una content security policy cuidadosamente elegida.
En hosting estático es fácil olvidarlo porque la aplicación sigue renderizando sin cabeceras. El trabajo de seguridad debe verificarse en la capa de respuesta HTTP.
Consideraciones para Cloudflare Pages
- Mantenga las reglas de cabeceras cerca del repositorio cuando sea posible para revisarlas junto con el código.
- Evite cambios solo en el dashboard si no están documentados, porque son más difíciles de auditar después.
- Verifique los dominios www y apex si ambos se sirven.
- Compruebe que las redirecciones no eliminan cabeceras importantes de la respuesta final.
CORS debe ser intencional
Access-Control-Allow-Origin: * se copia a menudo sin una razón. Para páginas web normales, CORS amplio normalmente no ayuda al visitante y puede facilitar exposiciones accidentales si se añaden endpoints futuros bajo la misma política.
Qué automatizar
- Una prueba que rechace wildcard CORS en la configuración de cabeceras estáticas.
- Un paso de build que publique sitemap y robots.
- Una verificación de preview que confirme renderizado y metadata en páginas críticas.
- Una comprobación de respuesta viva tras el despliegue en dominios de producción.