El protocolo HTTP define más de 40 códigos de estado del servidor, 9 de los cuales son explícitamente para redirecciones de URL. Cada código de estado de redireccionamiento comienza con el número 3 (HTTP 3xx) y tiene su propio método para manejar los redireccionamientos. Mientras que algunos son similares, todos ellos se encargan de las redirecciones de manera diferente.

Entender cómo funciona cada código de estado de redireccionamiento HTTP es crucial para diagnosticar o arreglar los errores de configuración del sitio web.

En esta guía, cubriremos en profundidad los códigos de estado de HTTP 307 Redirección Temporal y 307 Redirección Interna, incluyendo su significado y cómo se diferencian de otros códigos de estado de redireccionamiento 3xx.

¡Empecemos!

¿Cómo funciona la redirección de HTTP 3xx?

Antes de sumergirnos en las respuestas de redireccionamiento temporal 307 y redireccionamiento interno 307, comprendamos cómo funciona el redireccionamiento HTTP.

Los códigos de estado HTTP son respuestas del servidor al navegador. Cada código de estado es un número de tres dígitos, y el primer dígito define qué tipo de respuesta es. Los códigos de estado HTTP 3xx implican una redirección. Le ordenan al navegador que redirija a una nueva URL, la cual se define en el encabezado de Ubicación de la respuesta del servidor.

Redirecciones HTTP 3xx en el trabajo

Redirecciones HTTP 3xx en funcionamiento

Cuando tu navegador se encuentra con una solicitud de redireccionamiento del servidor, necesita entender la naturaleza de esta solicitud. Los diversos códigos de estado de redireccionamiento HTTP 3xx manejan estas solicitudes. Conocerlos a todos nos ayudará a entender mejor la redirección temporal 307 y la redirección interna 307.

Los diferentes tipos de redireccionamiento HTTP 3xx

Hay varios tipos de códigos de estado de redireccionamiento HTTP 3xx. La especificación original de HTTP no incluía 307 Redirección Temporal y 308 Redirección Permanente, ya que estos roles debían ser llenados por 301 Movido Permanentemente y 302 Encontrado.

Sin embargo, la mayoría de los clientes cambiaron el método de solicitud HTTP de POST a GET para las respuestas de redireccionamiento 301 y 302, a pesar de que la especificación HTTP no permite a los clientes hacerlo. Este comportamiento requirió la introducción de los códigos de estado más estrictos de redireccionamiento temporal 307 y de redireccionamiento permanente 308 en la actualización HTTP/1.1.

La respuesta de Redireccionamiento Interno 307 es una variante del código de estado de Redireccionamiento Temporal 307. No está definido por el estándar HTTP y es sólo una implementación del navegador local. Lo trataremos más adelante con más detalle.

Mientras que los códigos de estado de redireccionamiento como 301 y 308 están en caché por defecto, otros como 302 y 307 no lo están. Sin embargo, puedes hacer que todas las respuestas de redirección sean almacenadas en caché (o no) añadiendo un campo de encabezamiento de respuesta Cache-Control o vencimiento.

Las redirecciones HTTP no son tan complejas

Las redirecciones HTTP no son tan complejas

Usando 302 vs 303 vs 307 para redirigir temporalmente

Como se ve en la tabla de arriba, para redirecciones temporales, tienes tres opciones: 302, 303, o 307. Sin embargo, la mayoría de los clientes tratan el código de estado 302 como una respuesta 303 y cambian el método de solicitud HTTP a GET. Esto no es ideal desde el punto de vista de la seguridad.

«RFC 1945 y RFC 2068″ especifican que el cliente no puede cambiar el método en la solicitud redirigida. Sin embargo, la mayoría de las implementaciones de agentes de usuario existentes tratan el 302 como si fuera una respuesta 303, realizando un GET sobre el valor de campo Location independientemente del método de solicitud original. Se han añadido los códigos de estado 303 y 307 para los servidores que desean dejar inequívocamente claro qué tipo de reacción se espera del cliente. »
HTTP/1.1. Definiciones de códigos de estado, W3.org

Por lo tanto, para redireccionamientos temporales donde se necesita mantener el método de solicitud HTTP, utiliza la respuesta de redireccionamiento temporal 307 más estricta.

Por ejemplo, redirigiendo /register-form.html a signup-form.html, o de /login.php a /signin.php.

Para los casos en los que necesites cambiar el método de solicitud de redireccionamiento a GET, utiliza en su lugar la respuesta 303 Ver Otra respuesta.

Por ejemplo, redirigir una solicitud POST desde la página /register.php para cargar una página /success.html a través de la solicitud GET.

A menos que tu público objetivo utilice clientes antiguos, evita usar la respuesta de redireccionamiento de 302 Encontrados.

Entendiendo la redirección interna del 307 para los sitios sólo de HTTPS

Si tienes un sitio sólo de HTTPS (que debería), cuando intentes visitarlo de manera insegura a través de http:// regular, tu navegador se redirigirá automáticamente a la versión segura https://. Típicamente, esto sucede con una respuesta de redireccionamiento  301 Movido permanentemente del servidor.

Por ejemplo, si visitas http://citibank.com y cargas DevTools en Chrome y seleccionas la pestaña Network, podrás ver todas las peticiones realizadas entre el navegador y el servidor.

La primera respuesta es 301 Movido Permanentemente, que redirige el navegador a la versión HTTPS del sitio.

La respuesta 301 se redirige a la versión HTTPS

La respuesta 301 redirige a la versión HTTPS

Si profundizamos en los campos de los encabezados de la primera solicitud, podemos ver que el encabezado de respuesta de la localización define cuál es la URL segura para la redirección.

El encabezado de la respuesta de localización define el URL de redireccionamiento

El encabezado de la respuesta de localización define URL de redireccionamiento

El problema de este enfoque es que los actores maliciosos pueden secuestrar la conexión de la red para redirigir el navegador a una URL personalizada. Los ataques de tipo «Man-in-the-Middle» (MITM) como este son bastante comunes. Una serie de televisión popular incluso se burló de esto en uno de sus episodios.

Además, una parte maliciosa puede lanzar un ataque MITM sin cambiar la URL que aparece en la barra de direcciones del navegador. Por ejemplo, se puede servir al usuario una página de phishing que se vea exactamente igual al sitio original.

Y como todo se ve igual, incluyendo la URL en la barra de direcciones, la mayoría de los usuarios estarán felices de escribir sus credenciales. Puedes imaginarte por qué esto puede ser malo.

301 redirecciones a HTTPS no son seguras

Redireccionamientos 301 a HTTPS no son seguros

Redireccionamientos seguros con Redirección interna 307

Ahora, probemos el mismo ejemplo con Kinsta. Visitar http://kinsta.com lleva a solicitudes de red como se muestra en la siguiente captura de pantalla.

Un ejemplo de 307 Redirección interna

Un ejemplo de Redirección interna 307

La primera solicitud del sitio es como el ejemplo anterior, pero esta vez lleva a una respuesta de 307 Redirección Interna. Al hacer clic en ella nos mostrará más detalles sobre esta respuesta.

Nota: Si intentas visitar el sitio directamente con https://, no verás este encabezado ya que el navegador no necesita realizar ninguna redirección.

Cabeceras de respuesta del 307 Redireccionamiento Interno de respuesta

Cabeceras de respuesta del Redireccionamiento Interno 307

Observa el encabezado de respuesta del HSTS. Este es el Strict Transport Security (HSTS) de HTTP, también conocido como el encabezado de respuesta Strict-Transport-Security.

¿Qué es la HSTS (Seguridad Estricta en el Transporte)?

El IETF ratificó el HTTP Strict Transport Security (HSTS) en 2012 para obligar a los navegadores a utilizar conexiones seguras cuando un sitio se ejecuta estrictamente en HTTPS.

Es como si Chrome o Firefox dijeran: «Ni siquiera intentaré solicitar este sitio o cualquiera de sus recursos a través del protocolo inseguro HTTP». En su lugar, lo cambiaré a HTTPS e intentaré de nuevo».

Puedes seguir la guía de Kinsta sobre cómo habilitar el HSTS para que funcione en tu sitio web de WordPress.

Mejor seguridad con la respuesta de la Redirección Interna 307

Mejor seguridad con la respuesta de la Redirección Interna 307

Profundizando en el encabezado de la respuesta de la segunda petición nos dará una mejor comprensión.

Verificando el encabezado de respuesta del HSTS

Verificando el encabezado de respuesta del HSTS

Aquí, puedes ver el encabezado de respuesta de la estricta seguridad del transporte: max age=315536000.

El atributo de max age del encabezado de respuesta de seguridad de transporte estricto define cuánto tiempo el navegador debe seguir este patrón. En el ejemplo anterior, este valor se establece en 3153600 segundos (o 1 año).

Una vez que un sitio devuelva este encabezado de respuesta, el navegador ni siquiera intentará hacer una solicitud HTTP ordinaria. En su lugar, hará una redirección interna 307 a HTTPS e intentará de nuevo.

Cada vez que este proceso se repita, los encabezados de respuesta se reajustan. Por lo tanto, el navegador no podrá hacer una solicitud insegura por un período indefinido.

Si alojas tu sitio con Kinsta, puedes crear un ticket de soporte para que se añada el encabezado HSTS a tu sitio de WordPress. Dado que al añadir el encabezado HSTS se obtienen beneficios de rendimiento, se recomienda que habilite el HSTS para tu sitio.

¿Qué es una lista de precarga de HSTS?

Hay un problema de seguridad evidente incluso con el HSTS. La primera petición HTTP que se envía con el navegador es insegura, repitiendo así el problema que observamos anteriormente con Citibank.

Además, el encabezado de respuesta del HSTS sólo puede enviarse a través de HTTPS, por lo que la solicitud inicial insegura ni siquiera puede ser devuelta.

¿Cansado de experimentar problemas con su sitio de WordPress? Obtenga el mejor y más rápido soporte de hosting con Kinsta! Consulte nuestros planes

Para resolver este problema, HSTS soporta un atributo de precarga en su encabezado de respuesta. La idea es tener una lista de sitios que obliguen a HSTS a estar precargado en el propio navegador, pasando por alto este problema de seguridad por completo.

Agregando tu sitio a la lista de precarga de HSTS del navegador, se le hará saber que tu sitio aplica una política estricta de HSTS, incluso si está visitando tu sitio por primera vez. El navegador entonces usará la respuesta de Redireccionamiento Interno 307 para redirigir tu sitio a su esquema seguro https:// antes de solicitar cualquier otra cosa.

Debes tener en cuenta que a diferencia del Redireccionamiento Temporal 307, la respuesta del Redireccionamiento Interno 307 es un «encabezamiento falso» establecido por el propio navegador. No viene del servidor, del host de la web (por ejemplo, Kinsta), o del CMS (por ejemplo, WordPress).

Añadir un sitio a una lista de precarga de HSTS tiene muchas ventajas:

  1. El servidor web nunca ve peticiones HTTP inseguras. Esto reduce la carga del servidor y hace que el sitio sea más seguro.
  2. El navegador se encarga de la redirección de HTTP a HTTPS, haciendo el sitio más rápido y seguro.

Requisitos de la lista de precarga del HSTS

Si quieres añadir tu sitio a la lista de precarga de HSTS de un navegador, es necesario que compruebes las siguientes condiciones:

Important

Conseguir que tu dominio sea eliminado de la lista de precarga del HSTS puede ser difícil y llevar mucho tiempo (hasta 12 semanas o más). Habilita el HSTS si y sólo si estás totalmente comprometido a usar HTTPS en tu sitio. Puedes eliminar tu sitio de la lista de precarga de HSTS enviando un formulario a hstspreload.org

Añadir tu sitio a la lista de precarga de HSTS

Presentación de la lista de precarga del HSTS

Presentación de la lista de precarga del HSTS

Hay dos maneras de añadir tu sitio a la lista de precarga de HSTS.

  1. Enviando tu sitio a un directorio de listas de precarga de HSTS. Por ejemplo, la lista maestra de hstspreload.org es mantenida por el proyecto de código abierto Chromium y es utilizada por la mayoría de los principales navegadores (Firefox, Chrome, Safari, IE 11 y Edge).
  2. Añadiendo el siguiente campo de encabezamiento a tu sitio:

Seguridad en el transporte: edad máxima = 63072000; incluye sub-dominios; precarga.

Con el segundo método, la primera visita a tu sitio por el navegador no será totalmente segura. Sin embargo, las visitas posteriores serán totalmente seguras.

Un ejemplo de la lista de precarga de HSTS de Mozilla

Un ejemplo de la lista de precarga de HSTS de Mozilla

Puedes utilizar una herramienta online gratuita como Security Headers para verificar si tu sitio está haciendo cumplir el HSTS o no. Si te preocupa la compatibilidad de los navegadores con el HSTS, puede estar tranquilo sabiendo que el HSTS es compatible con casi todos los navegadores que se utilizan hoy en día.

HSTS disfruta de un amplio soporte en todos los principales navegadores

HSTS disfruta de un amplio soporte en todos los principales navegadores

HTTP Redireccionamientos 307 y SEO

Dado que una respuesta de Redireccionamiento Temporal 307 muestra que el recurso se ha movido temporalmente a un nuevo URL, los motores de búsqueda no actualizan su índice para incluir este nuevo URL. El «link-juice» de la URL original no se pasa a la nueva URL.

Esto contrasta con las redirecciones permanentes  301 Movido, en las que los motores de búsqueda actualizan su índice para incluir la nueva URL y pasan el ‘link-juice’ de la URL original a la nueva URL.

Con una respuesta de redireccionamiento interno 307, todo sucede a nivel del navegador. Por lo tanto, no deberías tener un efecto directo en el SEO de tu sitio. Sin embargo, agregar tu sitio a una lista de precarga de HSTS hace que se cargue más rápido y sea más seguro, lo cual puede ayudar a que se posicione más alto en los resultados de búsqueda.

Hay muchos tipos de códigos de estado de redireccionamiento de HTTP 3xx. Hoy es el momento de sumergirse en los códigos de estado de redireccionamiento temporal de HTTP 307... ¡nos vemos en el otro lado! 🛤Click to Tweet

Resumen

La redirección de URL te permite asignar más de una dirección URL a una página web. La mejor manera de manejar las redirecciones URL es a nivel de servidor con respuestas de código de estado de redirecciones HTTP 3xx. Si tu sitio está caído por mantenimiento o no está disponible por otras razones, puedes redirigirlo temporalmente a otro URL con una respuesta de redireccionamiento temporal 307.

Dicho esto, cualquier redireccionamiento añade retraso al tiempo de carga de la página. Por lo tanto, usa las redirecciones cuidadosamente teniendo siempre en cuenta la experiencia del usuario final.


Si le ha gustado este tutorial, entonces le va a encantar nuestro soporte. Todos los planes de hosting de Kinsta incluyen soporte 24/7 de nuestros ingenieros y desarrolladores de WordPress veteranos. Charle con el mismo equipo que ayuda a nuestros clientes de Fortune 500. Conozca nuestros planes