Segurança de sites, passo a passo.
Guias curtos e práticos, com linhas para colar no nginx, Apache ou WordPress. Cada guia indica suas fontes. O código e a configuração ficam em inglês.
Guias em português
Cabeçalhos de segurança
Cabeçalhos de segurança HTTP para copiar e colar no nginx, Apache (.htaccess), Cloudflare e WordPress: HSTS, X-Content-Type-Options, proteção contra frames, Referrer-Policy e Permissions-Policy.
GuiaContent-Security-Policy
Implante uma Content-Security-Policy sem quebrar seu site: comece em modo somente relatório, monte uma lista de permissões e depois aplique. Exemplos para nginx, Apache e WordPress.
GuiaHSTS
O que o HSTS faz, por que começar com um max-age curto, quando usar includeSubDomains e preload, com linhas para copiar e colar no nginx, Apache e Cloudflare.
GuiaWordPress invadido?
Os sinais de um WordPress invadido, como confirmar com as somas de verificação do WP-CLI e uma lista de limpeza: usuários, arquivos, chaves, atualizações e uma revisão do Google.
GuiaReforço do WordPress
Um checklist prático de reforço do WordPress com trechos para copiar e colar: bloquear o XML-RPC, esconder nomes de usuário, desativar o editor de arquivos, proteger o wp-config.php e impedir PHP em uploads.
GuiaHTTPS e conteúdo misto
Force o HTTPS com um único redirecionamento 301, corrija avisos de conteúdo misto, evite loops de redirecionamento no Cloudflare e atualize links http:// antigos no WordPress com o WP-CLI.
GuiaSkimmers no checkout
Como os skimmers de cartão entram em lojas virtuais e como impedi-los: inventário de scripts, CSP no checkout, SRI, campos de pagamento hospedados e detecção de alterações (PCI DSS 4.0 6.4.3 e 11.6.1).
Guia.git, .env e backups expostos
Arquivos .env, pastas .git e backups de banco de dados vazados entregam suas senhas aos atacantes. Verifique se os seus estão públicos, bloqueie no nginx ou no Apache e troque os segredos.
GuiaSPF, DKIM e DMARC
Impeça golpistas de enviar e-mails em nome do seu domínio. Registros SPF e DMARC para copiar e colar para Google Workspace e Microsoft 365, além de um caminho seguro de p=none a p=reject.
GuiaVerificar a segurança do seu site
Um jeito gratuito e seguro de verificar a segurança do seu site: HTTPS, cabeçalhos de segurança, registros de e-mail, atualizações do WordPress e arquivos expostos, com os comandos exatos e como é um bom resultado.
GuiaAs notas de segurança A–F
Como é calculada a nota de segurança A–F do HackGrade: pontos por gravidade de cada problema, limites por categoria e as regras que limitam a nota quando há um problema crítico ou de risco alto.
GuiaVerificar seu certificado SSL
Verifique sua configuração SSL/TLS em seis passos: cadeia confiável, nomes corretos, validade e renovação automática, só TLS 1.2/1.3, redirecionamento de HTTP para HTTPS e HSTS. Comandos e configuração para nginx e Apache.
GuiaPlugins do WordPress desatualizados
Encontre plugins e temas do WordPress desatualizados e vulneráveis: a tela de atualizações, comandos do WP-CLI, bancos públicos de vulnerabilidades, plugins fechados e atualizações automáticas seguras.
GuiaChecklist de segurança para pequenas empresas
Um checklist prático de segurança de sites para pequenas empresas: HTTPS, atualizações, backups, verificação em duas etapas, cabeçalhos de segurança, registros de e-mail, proteção do domínio e monitoramento, com links para correções passo a passo.
GuiaAtributos de segurança dos cookies
O que fazem os atributos de cookie Secure, HttpOnly e SameSite e como defini-los no PHP, WordPress, nginx e Apache, sem quebrar cookies de que seus scripts precisam.
GuiaEsconder versões do servidor e do PHP
Pare de anunciar as versões do seu software: server_tokens no nginx, ServerTokens no Apache, expose_php no PHP e a tag generator do WordPress, e por que atualizar importa mais do que esconder.
GuiaAdicionar um arquivo security.txt
Publique um arquivo security.txt para que pesquisadores possam relatar problemas a você: campos obrigatórios, um exemplo, onde colocá-lo no nginx, Apache e WordPress, e como mantê-lo válido.
GuiaScanner x pentest x verificador de cabeçalhos
Uma comparação justa entre verificadores gratuitos de cabeçalhos de segurança, scanners automáticos de segurança de sites como o HackGrade e testes de invasão manuais: o que cada um encontra, o que deixa passar e quando você precisa de cada um.
Testes gratuitos
Descubra sua nota antes que outra pessoa descubra.
Comece grátis. Planos pagos a partir de US$ 12 por mês, ou um relatório avulso por US$ 29. Ver preços