1. ¿Qué es Helmet y por qué usarlo?

Helmet es una librería popular para Node.js que ayuda a proteger aplicaciones web basadas en Express (u otros frameworks compatibles) contra una amplia gama de vulnerabilidades web. Lo hace configurando varios encabezados HTTP de seguridad. En lugar de tener que configurar manualmente cada encabezado, el desarrollador puede conectar Helmet y obtener protección «lista para usar» contra ataques como Cross-Site Scripting (XSS), Clickjacking, MIME-type sniffing y muchos otros.

¿Por qué es necesario? Los encabezados HTTP son la primera línea de defensa de tu aplicación. Cuando los navegadores reciben los encabezados correctos, pueden bloquear automáticamente acciones peligrosas. Por ejemplo, el encabezado X-Content-Type-Options: nosniff evita que el navegador «adivine» el tipo MIME de la respuesta, previniendo ataques relacionados con la carga de scripts maliciosos disfrazados de imágenes. Sin Helmet, el desarrollador tendría que agregar middleware manualmente para cada uno de estos encabezados, lo que conlleva riesgos de errores y omisiones.

Helmet no es una bala de plata y no reemplaza otras medidas de seguridad (validación de entrada, protección contra inyecciones SQL, uso de HTTPS). Sin embargo, es un paso crítico y sencillo para mejorar la seguridad de cualquier aplicación Express. La librería tiene un mantenimiento activo, una gran comunidad y se utiliza en miles de proyectos en todo el mundo.

2. Instalación

La instalación de Helmet se realiza a través del gestor de paquetes npm (o yarn). Asegúrate de tener Node.js y npm instalados.

npm install helmet

Si usas yarn:

yarn add helmet

Una vez instalada, la librería está lista para usar. No se requieren dependencias adicionales.

3. Inicio rápido — ejemplo mínimo funcional

La forma más sencilla de empezar a usar Helmet es conectarlo como middleware para toda la aplicación. Esto activa todos los middleware estándar incluidos en Helmet.

const express = require('express');
const helmet = require('helmet');

const app = express();

// Conectamos Helmet como middleware global
app.use(helmet());

app.get('/', (req, res) => {
  res.send('¡Hola, mundo seguro!');
});

app.listen(3000, () => {
  console.log('Servidor iniciado en http://localhost:3000');
});

Después de ejecutar este código, todas las respuestas de tu servidor incluirán un conjunto de encabezados HTTP de seguridad. Puedes comprobarlo abriendo las herramientas de desarrollador del navegador (pestaña Network) y revisando los encabezados de respuesta.

4. Métodos/funciones/clases principales

Helmet proporciona tanto una función única helmet(), que incluye todos los middleware, como funciones individuales para cada encabezado. Esto permite una configuración flexible de la seguridad.

4.1. helmet() (middleware global)

Firma: helmet(options?: object)

Qué hace: Devuelve una función middleware que establece todos los encabezados de seguridad estándar. Se puede pasar un objeto options para deshabilitar o configurar middleware específicos.

// Deshabilitamos el encabezado Content-Security-Policy, ya que lo configuraremos manualmente
app.use(helmet({
  contentSecurityPolicy: false,
}));

4.2. helmet.contentSec