Como verificar a segurança do seu site de graça
Resposta curta: faça uma análise passiva gratuita (como a nota A–F do HackGrade) e depois confirme você mesmo o básico: HTTPS com certificado válido, os principais cabeçalhos de segurança, registros SPF e DMARC para o seu domínio de e-mail, software atualizado e nenhum arquivo de backup ou de configuração público. Tudo isso pode ser verificado de fora, com segurança, em cerca de dez minutos.
Passos rápidos
- Faça uma análise passiva. Receba uma nota geral e uma lista de problemas por prioridade, sem atacar nada.
- Verifique o HTTPS e o certificado. Confira se http:// redireciona para https:// e se o certificado é válido e não está perto de vencer.
- Verifique os cabeçalhos de segurança. Procure Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options e Referrer-Policy.
- Verifique os registros de e-mail. Consulte o registro TXT de SPF no seu domínio e o registro TXT de DMARC em _dmarc.seudominio.
- Verifique as atualizações. Atualize o CMS, os plugins e os temas, e remova os que você não usa.
- Procure arquivos expostos. Confira se arquivos como .env, .git e backups não podem ser baixados do seu próprio site.
O código e a configuração ficam em inglês.
1. Faça uma análise passiva
Uma análise passiva lê apenas o que o navegador de qualquer visitante já consegue ver: suas páginas, os cabeçalhos de resposta, o certificado e o DNS público. Ela não faz login, não envia formulários e não tenta ataques, então é seguro rodá-la em um site no ar. A análise gratuita do HackGrade faz exatamente isso e transforma os resultados em uma nota de A a F, com as três primeiras correções explicadas. Como funciona a nota A–F.
2. Verifique o HTTPS e o certificado
O seu endereço em HTTP simples deve responder com um redirecionamento permanente (301 ou 308) para HTTPS:
curl -sI http://yourdomain.com | head -n 3Depois, leia as datas e o emissor do certificado:
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com </dev/null 2>/dev/null \
| openssl x509 -noout -subject -issuer -datesMais detalhes em Meu certificado SSL está configurado corretamente?
3. Verifique os cabeçalhos de segurança
curl -sI https://yourdomain.com | grep -iE 'strict-transport|content-security|x-frame|x-content-type|referrer-policy|permissions-policy'Linha faltando quer dizer cabeçalho faltando. O guia de cabeçalhos de segurança tem correções para copiar e colar no nginx, Apache, Cloudflare e WordPress.
4. Verifique os registros de e-mail (SPF e DMARC)
dig +short TXT yourdomain.com | grep -i spf
dig +short TXT _dmarc.yourdomain.comSem registro SPF ou DMARC, qualquer pessoa pode enviar e-mails que dizem vir do seu domínio. Veja SPF, DKIM e DMARC em linguagem simples.
5. Verifique as atualizações
No WordPress, abra Painel → Atualizações. Plugins desatualizados são a forma mais comum de invasão de sites pequenos. Veja como encontrar plugins desatualizados com vulnerabilidades conhecidas.
6. Procure arquivos expostos (só no seu próprio site)
Cada um destes deve retornar 403 ou 404, nunca 200:
for p in .env .git/HEAD wp-config.php.bak backup.zip; do
printf '%s ' "$p"; curl -s -o /dev/null -w '%{http_code}\n' "https://yourdomain.com/$p"
doneSe algum retornar 200, siga Bloquear arquivos .git, .env e backups expostos e troque todas as senhas ou chaves que o arquivo continha.
O que uma verificação gratuita não consegue ver
Uma verificação remota vê o que a internet vê. Ela não consegue ler os arquivos do seu servidor, o banco de dados ou o painel da hospedagem, então uma nota boa é um sinal forte, não uma garantia. Testes mais profundos (arquivos expostos, testes de injeção, lógica do checkout) só devem rodar em um site que é seu, com permissão. O HackGrade só os executa depois que você verifica o domínio e aceita o acordo de autorização de análise.
Perguntas frequentes
É legal analisar o meu próprio site?
Sim, verificar o seu próprio site não tem problema. Uma análise passiva só lê informações públicas, igual a um navegador. Testes ativos só devem ser feitos em sites que são seus ou que você tem autorização para testar.
Uma análise de segurança vai deixar meu site lento ou quebrá-lo?
Uma análise passiva faz um número pequeno de requisições comuns, parecido com um visitante, então não afeta um site normal.
Com que frequência devo verificar a segurança do meu site?
Depois de cada mudança importante (plugin novo, tema, hospedagem ou alteração de DNS) e pelo menos uma vez por mês. Certificados vencem e novas vulnerabilidades de plugins são publicadas toda semana.
Uma nota boa quer dizer que meu site não pode ser invadido?
Não. Quer dizer que os problemas visíveis de fora estão em boa forma. Mantenha o software atualizado, use senhas fortes e únicas com verificação em duas etapas e tenha backups testados.