Verificador de cabeçalhos, scanner ou teste de invasão?
Resposta curta: um verificador de cabeçalhos gratuito diz se alguns cabeçalhos HTTP estão definidos; um scanner automático de sites (como o HackGrade) verifica muitos problemas visíveis de fora em HTTPS, cabeçalhos, registros de e-mail e componentes do CMS, e pode repetir isso de forma agendada; um teste de invasão manual usa uma pessoa para encontrar falhas de lógica e de controle de acesso que as ferramentas deixam passar. A maioria das pequenas empresas deve começar com um scanner e adicionar um teste de invasão quando o risco ou uma norma exigir.
| Verificador de cabeçalhos | Scanner de segurança de sites | Teste de invasão | |
|---|---|---|---|
| O que verifica | Cabeçalhos de resposta HTTP de uma URL | HTTPS/TLS, cabeçalhos, cookies, registros de e-mail no DNS, versões do CMS e de plugins, arquivos expostos; testes mais profundos com permissão | Tudo o que estiver no escopo, incluindo lógica de negócio e áreas com login |
| Quem executa | Você, no navegador | Automático, sob demanda ou agendado | Um especialista em segurança |
| Tempo | Segundos | De segundos (passivo) a minutos (profundo) | De dias a semanas |
| Orientação para corrigir | Geralmente breve | Varia por ferramenta; o HackGrade dá correções passo a passo | Um relatório escrito |
| Repetição | Manual | Monitoramento contínuo possível | Um momento específico |
| Custo | Geralmente grátis | De plano gratuito a planos mensais | Cobrado por projeto; varia muito |
Quando um verificador de cabeçalhos basta
Quando você acabou de mudar as configurações do servidor ou da CDN e quer confirmar que um cabeçalho agora está presente. Ele não diz nada sobre certificados, falsificação de e-mail ou software desatualizado.
Quando um scanner é a ferramenta certa
Para a maioria dos sites de pequenas empresas: ele cobre os problemas que os ataques automáticos realmente procuram, coloca-os em ordem de prioridade e pode rodar de novo toda semana para você perceber quando um certificado está perto de vencer ou um plugin ganha uma vulnerabilidade nova. A análise gratuita do HackGrade é passiva; os testes mais profundos só rodam para donos verificados que aceitam o acordo de autorização de análise.
Quando você precisa de um teste de invasão
- Você lida com dados sensíveis ou grandes volumes de pagamento, ou um contrato ou norma exige (por exemplo, o requisito 11.4 do PCI DSS).
- Você tem uma aplicação web sob medida com contas, perfis ou regras de negócio complexas.
- Você quer que uma pessoa tente encadear problemas pequenos em um ataque real.
O que nenhuma ferramenta remota vê
Nenhuma delas substitui atualizações, backups, verificação em duas etapas e boas senhas. Ferramentas remotas não veem os arquivos do seu servidor nem a sua conta de hospedagem. Veja o checklist de segurança para pequenas empresas.
Perguntas frequentes
O HackGrade é um teste de invasão?
Não. O HackGrade é um scanner automático. A análise profunda roda testes ativos em domínios verificados, mas não substitui uma pessoa em testes de lógica de negócio ou pentests exigidos por contrato.
Um scanner e um pentest podem encontrar os mesmos problemas?
Eles se sobrepõem nos problemas comuns e visíveis. Um scanner é mais rápido e repetível; uma pessoa encontra falhas de lógica e encadeamentos.
Por qual devo começar?
Rode um scanner primeiro e corrija o que ele encontrar. Um teste de invasão vale mais a pena quando os problemas fáceis já foram resolvidos.