Verifique seu site antes de lançá-lo. Uma verificação cobre o que escapa no dia do lançamento: chaves de API no seu JavaScript, uma pasta .env ou .git pública, mapas de origem, cabeçalhos de segurança fracos, conteúdo misto, um noindex esquecido e títulos, tags de compartilhamento e favicon ausentes. É grátis, e nada do que você verifica é armazenado.
Como verificar o seu site, passo a passo
- Digite o endereço do seu site na caixa de endereço.
- Toque em Verificar site e espere um instante.
- Leia os resultados. Use as abas para ver Todas as verificações ou uma categoria: Arquivos e segredos, Segurança, Busca e compartilhamento ou Básico.
- Corrija o que foi sinalizado, publique e verifique de novo para confirmar.
O que a verificação procura
Arquivos e segredos expostos: chaves de API, tokens e chaves privadas dentro do seu HTML e scripts; arquivos .env, .git e config.json públicos; e mapas de origem que publicam o seu código original. Segurança: HTTPS e o redirecionamento do HTTP simples, os principais cabeçalhos de segurança, flags de cookies, conteúdo misto e um contato security.txt. Busca e compartilhamento: o título, a descrição e as tags Open Graph, robots.txt, sitemap.xml e qualquer noindex que sobrou do ambiente de testes. Básico: o viewport, o idioma da página, o favicon e links para uma política de privacidade e termos.
O que acontece quando você verifica
Esta ferramenta faz requisições de rede, então aqui está exatamente o que ela faz. O servidor do Snowkit busca sua página inicial, robots.txt, sitemap.xml, security.txt, favicon, até 5 dos seus scripts e os mapas de origem deles e 4 caminhos comuns de vazamento. São no máximo 30 requisições, sem rastrear. As chaves e as tags são conferidas no seu navegador, e nada é armazenado. Verifique apenas sites que você administra ou tem permissão para testar.
Se uma chave aparecer
Trate-a como vazada, mesmo que o site ainda não seja público. Revogue-a ou troque-a primeiro no provedor e depois tire-a do código de front-end e coloque-a em uma variável de ambiente no servidor ou em uma função de backend. Chaves feitas para navegadores, como chaves publicáveis de pagamento ou chaves restritas de mapas, podem ir ao ar, mas prenda-as ao seu domínio no painel do provedor.
O que ela não consegue ver
Ela verifica a página inicial e os arquivos para os quais ela aponta, não todas as páginas. Conteúdo que só aparece depois que o JavaScript roda, páginas atrás de um login e código do lado do servidor não são visíveis para ela. Uma verificação limpa significa que os erros comuns de lançamento estão cobertos, não que o site é totalmente seguro.
Uma checklist de lançamento simples
- Execute a verificação no endereço real, e não em um link de rascunho.
- Remova qualquer noindex que sobrou do ambiente de testes.
- Adicione um título, uma descrição e uma imagem de compartilhamento a cada página importante com o gerador de meta tags.
- Publique um sitemap com o gerador de sitemap e uma página de privacidade com o gerador de política de privacidade.
- Confira o seu próprio código com o detector de segredos antes de publicar.
Perguntas
Posso verificar qualquer site?
Verifique apenas sites que você administra ou que tem permissão para testar.
Ele armazena meus resultados?
Não. Nada do que você verifica é armazenado.
Um resultado limpo é garantia?
Não. Ele cobre erros comuns de lançamento nas páginas que consegue ver, não todas as falhas possíveis.