[Sergio Iglesias](https://sergioiglesias.net) · Blog sobre Joomla

# Plugin HTTP Headers en Joomla: qué es, cómo configurarlo

[ Añadir a fuentes preferidas ](https://www.google.com/preferences/source?q=sergioiglesias.net)   18 Febrero 2026    [Extensiones](https://sergioiglesias.net/blog/extensiones)   2 - 4 minutos    Visitas: 555  -
- [ Formación Joomla ](https://sergioiglesias.net/etiquetas/formacion-joomla)
- [ Extensiones Joomla ](https://sergioiglesias.net/etiquetas/extensiones-joomla)
- [ Seguridad Joomla ](https://sergioiglesias.net/etiquetas/seguridad-joomla)

  ![](https://sergioiglesias.net/images/blog/extensiones/http-headers-joomla.webp) Si usas Joomla y todavía no has tocado el plugin **Sistema – HTTP Headers**, tenemos que hablar. ¿Sabes qué es? Aquí te cuento todo.

No, no es “otro ajuste técnico más”: es **uno de los pilares de la seguridad moderna en Joomla**… y además **impacta directamente en SEO, confianza del navegador y rendimiento**.

Hoy te explico **qué hace**, **para qué sirve cada cabecera**, **cómo configurarlo correctamente** y **qué errores evitar** para no romper tu web en el intento.

Plugin HTTP Headers en #Joomla: qué es, cómo configurarlo y por qué es clave en tu #seguridad y #SEO

  [  Compártelo ](https://www.linkedin.com/sharing/share-offsite/?url=https://sergioiglesias.net/blog/extensiones/plugin-http-headers-en-joomla-que-es-como-configurarlo "Compártelo")   [  Postéalo ](https://twitter.com/intent/tweet?url=https%3A%2F%2Fsergioiglesias.net%2Fblog%2Fextensiones%2Fplugin-http-headers-en-joomla-que-es-como-configurarlo&text=Plugin%20HTTP%20Headers%20en%20%23Joomla%3A%20qu%C3%A9%20es%2C%20c%C3%B3mo%20configurarlo%20y%20por%20qu%C3%A9%20es%20clave%20en%20tu%20%23seguridad%20y%20%23SEO "Postéalo")   [  Envíalo ](https://api.whatsapp.com/send?text=Plugin%20HTTP%20Headers%20en%20%23Joomla%3A%20qu%C3%A9%20es%2C%20c%C3%B3mo%20configurarlo%20y%20por%20qu%C3%A9%20es%20clave%20en%20tu%20%23seguridad%20y%20%23SEO%20-%20https%3A%2F%2Fsergioiglesias.net%2Fblog%2Fextensiones%2Fplugin-http-headers-en-joomla-que-es-como-configurarlo "Envíalo")

## ¿Qué es el plugin Sistema – HTTP Headers de Joomla?

![http headers plugin joomla](https://sergioiglesias.net/media/cached-resp-images//images/blog/tips/gestionar/http-headers-plugin-joomla_1230.jpg?version=28a6e6a408643715c10bd9700108600d)

El plugin **Sistema – HTTP Headers** permite configurar, directamente desde Joomla, varias **cabeceras de seguridad HTTP** que el navegador interpreta antes de cargar tu web.

En cristiano: Le dices al navegador **cómo debe comportarse** cuando visita tu sitio.

Este plugin viene **de serie en Joomla** y se encuentra en:

 ```
Sistema → Plugins → Sistema – HTTP Headers
```

## Por qué las HTTP Security Headers son tan importantes

Las cabeceras HTTP sirven para:

- Proteger tu web contra **clickjacking**
- Evitar **ataques XSS**
- Controlar qué recursos externos se cargan
- Forzar HTTPS
- Mejorar la privacidad del usuario
- Generar **confianza en navegadores y buscadores**

Y sí:
📈 **Google valora positivamente** una configuración correcta de seguridad.

## X-Frame-Options: evita que incrusten tu web en otras páginas

### ¿Qué hace X-Frame-Options?

Esta cabecera impide que tu web se cargue dentro de un <iframe> en otro dominio.

Traducción rápida: Evita ataques de **clickjacking**.

### Opciones recomendadas

- **DENY** → Nadie puede incrustar tu web (la más segura)
- **SAMEORIGIN** → Solo tu propio dominio

📌 En la mayoría de webs Joomla: **SAMEORIGIN** es la opción ideal.

🔗 Documentación oficial:
<https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/X-Frame-Options>

## Referrer-Policy: controla la información que se comparte

### ¿Qué es Referrer-Policy?

Define **qué información se envía** cuando un usuario hace clic desde tu web a otra.

Ejemplo:

- URL completa
- Solo el dominio
- Nada

### Configuración recomendada

La más equilibrada y segura es: `strict-origin-when-cross-origin`

✔ Mantiene datos dentro de tu dominio
✔ Protege la privacidad del usuario
✔ Es la recomendada por navegadores modernos

🔗 Más info: <https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Referrer-Policy>

## Strict-Transport-Security (HSTS): fuerza HTTPS sí o sí

### ¿Qué es HSTS?

Le dice al navegador:

“Esta web **solo se puede cargar por HTTPS**, siempre.”

Incluso aunque el usuario escriba http://.

### ¿Cuándo activar HSTS?

⚠ **Solo si tu web usa HTTPS correctamente**
⚠ **Y tienes certificado SSL válido**

Si no… puedes dejar tu web inaccesible.

🔗 Documentación oficial: <https://developer.mozilla.org/es/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security>

## Content-Security-Policy (CSP): la más potente (y la más peligrosa)

### ¿Qué es CSP?

Controla **qué scripts, estilos, imágenes y recursos externos** puede cargar tu web.

Es brutal para la seguridad…pero mal configurada = web rota

### Ejemplo de lo que puedes bloquear

- Scripts externos no autorizados
- Inyecciones de código
- Recursos sospechosos

### Consejo realista

👉 Si no sabes lo que haces: empieza en **modo informe (report-only)**.

🔗 Guía oficial: <https://developer.mozilla.org/en-US/docs/Web/HTTP/Guides/CSP>

## Cross-Origin-Opener-Policy: aislamiento de contexto

Esta cabecera controla cómo interactúa tu web con otras ventanas o pestañas.

### Valor recomendado en Joomla

`same-origin`

✔ Aumenta seguridad
✔ Evita fugas de datos
✔ No suele romper nada

## Forzar HTTP Headers en Joomla

La opción **“Forzar HTTP Headers”** permite que Joomla sobrescriba las cabeceras aunque el servidor ya envíe otras.

⚠ Úsala con cuidado si:

- Tienes Cloudflare
- Usas servidor gestionado
- El hosting ya añade cabeceras

## Errores comunes al configurar HTTP Headers en Joomla

❌ Activar CSP sin probar
❌ Habilitar HSTS sin HTTPS real
❌ Bloquear scripts necesarios (Google Analytics, mapas, etc.)
❌ Copiar configuraciones “porque sí”

👉 **Cada web es un mundo**.

## Buenas prácticas finales

✔ Activa X-Frame-Options
✔ Usa Referrer-Policy moderna
✔ Configura HSTS solo si procede
✔ Prueba CSP con calma
✔ Usa herramientas como SecurityHeaders.com

El plugin **Sistema – HTTP Headers** es uno de esos tesoros ocultos de Joomla que:

- Mejoran la seguridad
- Aumentan la confianza
- Ayudan al SEO
- Profesionalizan tu proyecto

Y todo… **sin instalar extensiones externas**.

Si no lo tienes bien configurado, estás dejando la puerta medio abierta.

[ Añadir a fuentes preferidas ](https://www.google.com/preferences/source?q=sergioiglesias.net)Gratuito · Primer paso recomendado

### ¿No sabes bien en qué estado

está tu web Joomla?

Antes de decidir si hay que arreglar, migrar o mantener, conviene saber qué está pasando. Reviso el estado de tu web — versión de Joomla, extensiones y lo que se pueda ver — y te digo qué conviene hacer y en qué orden.

Versión de Joomla y ruta de actualización Estado de extensiones Plan de acción con recomendaciones Informe por email + HTML

[ Solicitar revisión gratuita sin compromiso ](https://sergioiglesias.net/revision-joomla-gratis)Respuesta en 24–48 h laborables

[![Sergio Iglesias](https://sergioiglesias.net/images/sergiois-joomla-web.png)](https://sergioiglesias.net/sobre-mi)##### Consultor Web Joomla Senior

Soy [Sergio Iglesias](https://sergioiglesias.net/sobre-mi). Ayudo a empresas, instituciones y profesionales a convertir su web en una herramienta real de negocio: segura, escalable y fácil de gestionar. Soy especialista en migraciones complejas de Joomla sin pérdida de datos, desarrollo de extensiones y plantillas a medida y ofrezco mantenimiento y evolución de tu CMS.

[](https://x.com/sergiois "Sergio Iglesias en X") [](https://www.linkedin.com/in/sergiois "Sergio Iglesias en Linkedin") [](https://github.com/sergiois "Sergio Iglesias en Github") [](https://sergiois.github.io/ "Extensiones Joomla de Sergio Iglesias")

### Suscríbete a mi newsletter

¿Te ha gustado el artículo? Suscríbete a mi newsletter y recibe contenido exclusivo.
Podrás hacer gratis un **Curso de desarrollo de plantillas Joomla**.

[Quiero apuntarme!](https://sergioiglesias.net/newsletter)

###  2 comentarios

- [ ![](https://www.gravatar.com/avatar/c736a51232932f1f8830588c7e9e36cae37b4b05728e8668f0896d97426a6c9f?s=48&r=G&d=mp) ](https://www.gravatar.com/c736a51232932f1f8830588c7e9e36cae37b4b05728e8668f0896d97426a6c9f)

     Bruno

     [ Miércoles, 18 Marzo 2026 16:31 ](https://sergioiglesias.net/blog/extensiones/plugin-http-headers-en-joomla-que-es-como-configurarlo?akengage_cid=582#akengage-comment-582)

      Gracias por la info. muy bien explicado y didáctico.
- [ ![](https://www.gravatar.com/avatar/a24b128ceff3ccf86775c2e4b509d9d041c8806369c11c0e41a2d0f7b2ed84f1?s=48&r=G&d=mp) ](https://www.gravatar.com/a24b128ceff3ccf86775c2e4b509d9d041c8806369c11c0e41a2d0f7b2ed84f1)

     Pablo Arias

     [ Jueves, 19 Febrero 2026 16:27 ](https://sergioiglesias.net/blog/extensiones/plugin-http-headers-en-joomla-que-es-como-configurarlo?akengage_cid=579#akengage-comment-579)

      Buen artículo, Sergio.

    La seguridad que ofrece Joomla desde el propio núcleo es brutal.

###  Deja tu comentario

 En respuesta a Some User

 Nombre \*

 Dirección de email \*

 Texto del comentario \*

 Doy mi consentimiento para que mi información personal sea recopilada y procesada por este sitio para aceptar y mostrar mi comentario, así como para notificarme sobre las respuestas a él según la [Declaración de privacidad](https://sergioiglesias.net/politica-privacidad) del sitio. \*