Squish & Co. — dep. de diagnóstico
Verificador de cabeçalhos de segurança
Verifique os seis cabeçalhos HTTP de segurança que importam e receba uma nota conforme cada um esteja mesmo a fazer o seu trabalho, e não apenas se foi enviado. Uma ferramenta gratuita da Squish, sem registo.
Experimente , , Sem cadastro
Os resultados aparecem aqui. Escreva um domínio para começar.
O que os cabeçalhos de segurança fazem de facto
Os cabeçalhos de segurança são instruções que o seu servidor envia com cada página, a dizer ao navegador o que permitir. O HSTS recusa HTTP simples. A Content-Security-Policy limita de onde os scripts podem carregar. O X-Frame-Options impede que a sua página seja carregada dentro da moldura invisível de outra pessoa. Não custam nada a definir e fecham categorias inteiras de ataque, mas só quando o valor traz uma restrição real — e é por isso que aqui se classifica o que cada cabeçalho faz e não se foi enviado.
Perguntas frequentes
Que cabeçalhos verificam?
Seis, ponderados pelo peso que têm: HSTS e Content-Security-Policy com 25 pontos cada, X-Frame-Options e X-Content-Type-Options com 15, Referrer-Policy e Permissions-Policy com 10. São 100 pontos, e a nota acompanha a pontuação.
Porque perdi pontos num cabeçalho que defini?
Porque um cabeçalho presente nem sempre é um cabeçalho a funcionar. content-security-policy: default-src * permite script a partir de qualquer anfitrião na internet, e x-frame-options: ALLOWALL é um valor que nenhum navegador respeita há anos. Ambos são classificados pelo que fazem, por isso ambos ficam com metade da pontuação em vez da total.
Não tenho X-Frame-Options e mesmo assim passei — porquê?
A sua Content Security Policy traz frame-ancestors, que faz o mesmo trabalho e substitui-o em todos os navegadores que implementam ambos. Definir também o cabeçalho antigo não faz mal, mas a sua ausência não é uma falha.
Isto diz-me se o meu site é seguro?
Não. Lê os cabeçalhos de uma resposta e classifica isso. Não procura software malicioso, não testa o seu início de sessão nem olha para o seu código. Uma boa nota aqui significa que os seus cabeçalhos estão bem definidos, nada mais, e preferimos dizê-lo a sugerir um atestado de saúde que não medimos.
Os cabeçalhos são trabalho de servidor, não de site. Definem-se uma vez na configuração do servidor, precisamente a camada que o alojamento gerido existe para lhe tirar das mãos.
Ver o alojamento Squish →