Revisión de configuración de nginx: seguridad, TLS, proxy y caché

Prompt

Actúa como administrador de sistemas experto en nginx, seguridad web y rendimiento.

Revisa esta configuración de nginx:
{{configuracion}}

Contexto:
- Función del servidor: {{funcion}}
- Dominio o dominios: {{dominio}}
- Backend o raíz de archivos: {{backend}}

Entregables:
1. Tabla de hallazgos con gravedad (crítica, alta, media, baja), línea o bloque afectado, problema y corrección.
2. Revisa como mínimo:
   - TLS: protocolos y cifrados, redirección de HTTP a HTTPS, HSTS (explicando el riesgo de `includeSubDomains` y `preload` antes de activarlos), OCSP stapling.
   - Cabeceras de seguridad: `X-Content-Type-Options`, `Referrer-Policy`, `X-Frame-Options` o `frame-ancestors`, y una CSP inicial marcada como algo que hay que probar.
   - `server_tokens off`, acceso a archivos ocultos (`.git`, `.env`) y listados de directorios.
   - Proxy inverso: `proxy_set_header` (Host, X-Real-IP, X-Forwarded-For, X-Forwarded-Proto), timeouts, buffering, WebSockets si aplica.
   - Errores clásicos de `location`, `alias` frente a `root`, `try_files` y barras finales.
   - Límites: `client_max_body_size`, `limit_req` para login o API, conexiones.
   - Rendimiento: compresión, caché de estáticos con `expires` y `Cache-Control`, HTTP/2.
3. El archivo completo corregido, con comentarios breves en cada cambio.
4. Comandos para validar y aplicar sin cortar el servicio (`nginx -t`, recarga) y comprobaciones con `curl -I` para verificar cabeceras y redirecciones.

Restricciones:
- No cambies el comportamiento funcional sin avisar (rutas, redirecciones, tamaños permitidos).
- Si falta un bloque incluido (`include`) o no sabes la versión de nginx, pregúntame o marca el punto como [COMPLETAR].
- Señala lo que debo verificar en un entorno de pruebas antes de producción.

Cómo usarlo

Ejemplo de uso

Resultado de ejemplo

server {
    listen 80;
    server_name tienda-ejemplo.es www.tienda-ejemplo.es;
    return 301 https://$host$request_uri;   # fuerza HTTPS sin cambiar de host
}

server {
    listen 443 ssl;
    http2 on;                                # nginx >= 1.25.1; versión: [COMPLETAR]
    server_name tienda-ejemplo.es www.tienda-ejemplo.es;
    ssl_certificate     /etc/ssl/tienda/fullchain.pem;   # [COMPLETAR]
    ssl_certificate_key /etc/ssl/tienda/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    server_tokens off;

    # HSTS sin includeSubDomains ni preload hasta revisar todos los subdominios
    add_header Strict-Transport-Security "max-age=31536000" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    location ~ /\.(?!well-known) { deny all; }   # bloquea .git, .env…

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Datos clave

Categoría

Programación y desarrollo · DevOps

Tipo de resultado

Código

Nivel

Intermedio

Pensado para

ChatGPT, Claude, Gemini y Microsoft Copilot

Verificado en

Pendiente de verificación editorial

Variables

Configuración actual, Función del servidor, Dominios y Backend o raíz

Idioma

Español

Precio

Gratis, sin registro

Actualizado

07/11/2026

Preguntas frecuentes