Esta guía explica cómo proteger su sitio web y sus visitantes contra el uso malicioso de la detección de tipo MIME.

Prólogo

• La detección de tipo MIME, o sniffing de tipo MIME, es una técnica utilizada por los navegadores web para determinar el tipo de contenido de un recurso cuando el tipo MIME proporcionado por el servidor es ambiguo, falta o es incorrecto.
• Aunque esto puede mejorar a veces la experiencia del usuario al hacer que el contenido sea accesible a pesar de errores de configuración del servidor, esta funcionalidad también introduce vulnerabilidades de seguridad importantes:
  • Cuando un navegador realiza una detección de tipo MIME, puede interpretar un archivo de texto como un script ejecutable, abriendo así la puerta a ataques de cross-site scripting (XSS).
  • Por ejemplo, un archivo destinado a ser tratado como texto plano podría ser interpretado como JavaScript, permitiendo a un atacante ejecutar código malicioso en el navegador del usuario.
• Al desactivar la detección de tipo MIME, protege a los visitantes contra la ejecución no autorizada de scripts maliciosos y también refuerza la seguridad general de su sitio web al reducir los vectores potenciales de ataque.

Desactivar la detección de tipo MIME

Para proteger a los usuarios y las aplicaciones web contra este tipo de vulnerabilidades, es posible desactivar la detección automática del tipo de recursos a través del archivo .htaccess de sus sitios para indicar al navegador que se atenga estrictamente al tipo MIME especificado por el servidor sin intentar adivinarlo.

Al colocar el código a continuación en su archivo .htaccess, asegura que la detección de tipo MIME esté desactivada siempre que el módulo mod_headers (que permite agregar la cabecera a continuación) esté activado en su servidor Apache:

1. Abra el archivo .htaccess del sitio correspondiente desde el FTP Manager o un software/cliente FTP.

2. Agregue el siguiente código:

   <IfModule mod_headers.c>
       Header always set X-Content-Type-Options "nosniff"
   </IfModule>

3. Guarde el archivo .htaccess.