Verificação de cabeçalhos de segurança
Avalie de A+ a F os cabeçalhos de segurança HTTP de qualquer site, com o que cada cabeçalho faz e o que mudar.
O que esta ferramenta verifica
O DNSPeek carrega seu domínio por https:// (ou por http:// quando nada responde via HTTPS), segue os redirecionamentos como um navegador e lê os cabeçalhos de resposta da página final. Atrás de uma CDN como a Cloudflare, esses são os cabeçalhos que o edge dela envia. Ele verifica Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy e Permissions-Policy, e anota cabeçalhos Server ou X-Powered-By que revelam versões de software.
Contra o que os cabeçalhos protegem
O HSTS mantém os navegadores no HTTPS para que ninguém possa rebaixar a conexão. Uma CSP limita de onde os scripts podem ser carregados e é a principal defesa contra cross-site scripting. O X-Frame-Options impede que outros sites coloquem o seu em um frame para clickjacking. O nosniff impede que os navegadores executem um arquivo como um tipo diferente do declarado. O Referrer-Policy limita quais URLs vazam para outros sites, e o Permissions-Policy desativa recursos do navegador que você não usa.
Depois de uma migração
Os cabeçalhos são definidos pelo servidor web ou pelo CMS, então costumam mudar quando um site muda de lugar. Compare a nota antes e depois da troca. O que as prévias alteram, e por quê, está na página de limitações.
Perguntas frequentes
Como a nota é calculada?
Seis cabeçalhos valem pontos: Strict-Transport-Security 25, Content-Security-Policy 25, X-Frame-Options (ou CSP frame-ancestors) 15, X-Content-Type-Options 15, Referrer-Policy 10 e Permissions-Policy 10. Um valor fraco vale metade. 95 ou mais é A+ quando nenhuma versão de software é revelada, 85 é A, 70 é B, 55 é C, 40 é D e qualquer valor abaixo disso é F. Uma página que não carrega normalmente (um loop de redirecionamento, uma falha de conexão, uma página de erro ou uma página de verificação contra bots) não recebe nota: a ferramenta mostra o motivo.
Qual cabeçalho devo adicionar primeiro?
Strict-Transport-Security e X-Content-Type-Options: nosniff ocupam uma linha cada e são seguros em quase todos os sites. Uma Content-Security-Policy dá a maior proteção, mas precisa de testes: comece com Content-Security-Policy-Report-Only e reforce a política quando nenhuma violação for mais relatada.
Por que minha nota é menor do que em outro scanner?
Os scanners pesam os cabeçalhos de formas diferentes, e alguns verificam mais deles. Esta ferramenta verifica os cabeçalhos da página em que seu domínio finalmente chega depois dos redirecionamentos, como um visitante a veria.
Os links de prévia do DNSPeek mantêm meus cabeçalhos de segurança?
Não. Para que as páginas funcionem no endereço da prévia, o DNSPeek remove Strict-Transport-Security, Content-Security-Policy e X-Frame-Options nas prévias. Verifique seus cabeçalhos no domínio real depois da troca de DNS, com esta ferramenta.
Vai mover um site para um novo servidor?
Veja o site no novo servidor antes de alterar o DNS: o DNSPeek gera um link de prévia HTTPS que funciona em qualquer dispositivo e que você pode compartilhar com sua equipe ou seu cliente. Sem arquivo hosts, sem VPN.
Criar um link de prévia grátis