Cada cabeçalho de segurança recebe aprovado, aviso ou falha, com a linha exata a adicionar. Confira os cabeçalhos que o seu site envia ou cole cabeçalhos que você já tem e veja quão bem o seu site está protegido. É grátis e não precisa de conta.
Como conferir os seus cabeçalhos
- Na aba Verificar uma URL, informe seu site em Endereço da web e toque em Verificar cabeçalhos.
- Ou abra a aba Colar cabeçalhos, cole os Cabeçalhos de resposta e toque em Avaliar estes cabeçalhos.
- Leia a nota e depois percorra cada linha. Cada problema vem com a linha a adicionar.
O que é enviado
Os navegadores não conseguem ler os cabeçalhos de outro site, então, quando você usa Verificar uma URL, o endereço que você informa é buscado pelo servidor do Snowkit. Ele segue até 5 redirecionamentos, desiste depois de 8 segundos, recusa endereços privados e de rede local e não guarda o que você verifica. Cabeçalhos colados são avaliados no seu navegador e não são enviados a lugar nenhum.
Os cabeçalhos que mais importam
Strict-Transport-Security faz os navegadores usarem HTTPS no seu site sempre. Content-Security-Policy lista de onde scripts, estilos e frames podem vir, então o código injetado tem dificuldade para rodar. X-Frame-Options ou o frame-ancestors do CSP impede que outros sites carreguem o seu em um frame oculto. X-Content-Type-Options: nosniff impede que os navegadores adivinhem tipos de arquivo, e Referrer-Policy e Permissions-Policy limitam o que vaza para outros sites e quais recursos do navegador as páginas podem usar.
Como a nota funciona
Toda verificação começa aprovada. HTTPS, HSTS e CSP contam mais; proteção de frame, nosniff e flags de cookie contam em seguida; as políticas de referrer e de permissões e os números de versão nos cabeçalhos contam menos. Um aviso custa metade de uma falha. A nota é um resumo rápido, então leia cada linha: um CSP estrito com um HSTS curto ainda pode ser um site muito bem protegido.
Onde definir cabeçalhos
No Cloudflare Pages e no Netlify, adicione-os a um arquivo _headers. Na Vercel, use a seção headers de vercel.json. Com nginx use add_header, com Apache use Header always set e, em frameworks Node, um pequeno middleware funciona. Defina em toda resposta HTML, não só na página inicial.
Dicas
- Adicione um cabeçalho de cada vez e teste o seu site depois de cada um, já que um Content-Security-Policy estrito pode bloquear coisas que estavam funcionando.
- Comece pelos ganhos fáceis: nosniff, uma política de referrer e proteção de frame.
- Confira de novo depois de mudar a hospedagem ou adicionar um novo serviço.
- Veja também a configuração de DNS e de e-mail com a consulta DNS.
Quem usa
Donos de sites e de pequenas empresas, freelancers que entregam um site e desenvolvedores que revisam a segurança antes de um lançamento. Para transformar uma requisição em código, veja o conversor de curl.
Perguntas
Uma boa nota significa que meu site é seguro?
Não. Os cabeçalhos são uma camada de proteção. Eles não substituem atualizações, senhas fortes nem código cuidadoso.
Por que não consigo verificar um endereço local?
Endereços privados e de rede local são recusados. Cole os cabeçalhos para avaliá-los no seu navegador.
Ele armazena o endereço do meu site?
Não. O que você verifica não é armazenado.