Verificar os cabeçalhos de segurança
Cole o endereço de uma página. Lemos os seus cabeçalhos HTTP, verificamos as nove proteções que contam e damos uma nota que pode recalcular à mão.
Como é calculada a nota
A nota é uma soma, não uma estimativa. Cada controlo vale um número fixo de pontos; um controlo cumprido dá-os todos, um parcial metade (arredondada para baixo: 7 em 15), um ausente nenhum. Com os cabeçalhos mostrados acima, chega ao mesmo total à mão.
| Controlo | Pontos | Porquê este peso |
|---|---|---|
| HTTPS | 20 | sem ele, nenhuma outra proteção se aguenta |
| Content-Security-Policy | 20 | a única que limita os danos de uma falha XSS |
| Strict-Transport-Security | 15 | impede que o visitante seja levado de volta para http:// |
| Proteção contra incorporação | 10 | impede que a sua página seja escondida numa moldura para fazer clicar o visitante sem ele saber |
| X-Content-Type-Options | 10 | impede o navegador de adivinhar o tipo de um ficheiro |
| Referrer-Policy | 10 | limita o que os seus endereços revelam a outros sites |
| Permissions-Policy | 5 | corta o acesso à câmara, ao microfone ou à localização |
| Cookies Secure e SameSite | 5 | impede que um cookie viaje sem cifra ou sirva um pedido forjado |
| Versão do servidor oculta | 5 | não abre nenhuma falha, mas ajuda a procurar uma |
A letra segue o total: A+ com 100, A a partir de 90, B de 75, C de 60, D de 45, E de 30, F abaixo.
Por onde começar
Os cabeçalhos de uma linha (X-Content-Type-Options, Referrer-Policy, X-Frame-Options) põem-se em poucos minutos na configuração do servidor ou do alojamento, sem risco para o site. O HSTS também, desde que todo o site já seja servido em HTTPS. A CSP exige mais cuidado: uma política demasiado rígida parte os scripts de terceiros. Comece em modo de relatório, veja o que teria bloqueado, e depois ative-a.
O que esta ferramenta não faz
- Não testa nenhuma vulnerabilidade: lê os cabeçalhos que o servidor envia a toda a gente, e nada mais.
- Só avalia uma página. Um site pode enviar cabeçalhos diferentes conforme as páginas, sobretudo entre a página inicial e a área de cliente.
- Não diz se a CSP está bem afinada para o seu site: verifica que existe e protege contra scripts, não que deixa passar os de que precisa.
Perguntas frequentes
Uma nota baixa prejudica o meu posicionamento?
Não diretamente: só o HTTPS é um sinal de posicionamento, e pesa pouco. Os outros cabeçalhos protegem os seus visitantes, não a sua posição. Mas um site pirateado é retirado dos resultados ou marcado como perigoso, e estes cabeçalhos fazem parte do que o protege.
Como se acrescentam estes cabeçalhos?
Na configuração do servidor (Apache, Nginx), no painel de um serviço como a Cloudflare, ou com um plugin no WordPress. Na maioria dos alojamentos partilhados, um ficheiro .htaccess basta para os cabeçalhos simples.
Porque é que a página não mostra o valor dos cookies?
Porque esses cookies foram colocados para a nossa visita e não lhe diriam nada. Para a segurança só contam o nome e os atributos (Secure, HttpOnly, SameSite), e são as únicas coisas que guardamos.
Para aprofundar
HTTPS e posicionamento: o que muda realmente Passar a HTTPS muda quatro coisas concretas. O posicionamento é a mais pequena das quatro, e é aquela de que toda a gente fala.As outras ferramentas
Verificar um certificado SSL
Data de expiração do certificado, emissor e nomes realmente cobertos.
Verificar SPF, DKIM e DMARC
SPF, DKIM e DMARC lidos e avaliados, incluindo a cadeia das dez consultas SPF, com os requisitos do Gmail e do Yahoo.
A minha página pode ser indexada?
Noindex, robots.txt, canonical, código HTTP: o que impede o Google e o Bing de indexar uma página, motor a motor.
Ser avisado antes de o certificado falhar
A Expansel verifica o certificado HTTPS dos seus sites em cada passagem e avisa-o antes do fim da validade, não no dia em que o navegador mostra um aviso vermelho aos seus visitantes.