O que significam as notas de segurança de A a F
Resposta curta: todo site começa com 100 pontos. Cada problema encontrado tira pontos conforme a gravidade (crítico 40, alto 20, médio 8, baixo 3), com um limite por categoria. 90 ou mais é A, 75 ou mais B, 60 ou mais C, 40 ou mais D e abaixo de 40 F. Qualquer problema de risco alto limita a nota a B, um problema crítico a limita a D e dois ou mais problemas críticos significam F.
As faixas
| Nota | Pontuação | O que costuma significar |
|---|---|---|
| A | 90–100 | O básico está no lugar. Só faltam reforços pequenos. |
| B | 75–89 | Sólido, com algumas proteções faltando, ou um problema de risco alto para corrigir. |
| C | 60–74 | Várias brechas que os atacantes costumam procurar. |
| D | 40–59 | Brechas sérias, ou um problema crítico como um certificado inválido ou vencido. |
| F | 0–39 | Corrija já: vários problemas críticos ou muitos de risco alto. |
Como os pontos são descontados
- Crítico: 40 pontos. Exemplo: um certificado vencido ou não confiável.
- Alto: 20 pontos. Exemplos: uma versão de TLS obsoleta (1.0/1.1), um certificado que vence em menos de 14 dias, uma versão do PHP que não recebe mais correções de segurança.
- Médio: 8 pontos. Exemplos: sem HSTS, sem Content-Security-Policy, sem proteção contra clickjacking, sem registro SPF ou DMARC.
- Baixo: 3 pontos. Exemplos: sem Referrer-Policy, sem Permissions-Policy, números de versão do servidor ou do PHP à mostra.
- Informativo: 0 ponto. Mostrado só como contexto.
Cada categoria (por exemplo cabeçalhos, TLS, e-mail, WordPress) tem um desconto máximo, então muitos problemas pequenos de cabeçalho não conseguem derrubar a nota sozinhos. A categoria de cabeçalhos tem limite de 24 pontos.
Os limites de segurança
Só os pontos poderiam esconder um único problema perigoso, então três regras valem depois da pontuação:
- Qualquer problema alto: a nota é no máximo B.
- Um problema crítico: a nota é no máximo D.
- Dois ou mais problemas críticos: a nota é F.
Dois exemplos
- CSP ausente (8) + HSTS ausente (8) + Referrer-Policy ausente (3) = 19 pontos. 100 − 19 = 81, um B.
- Um certificado vencido (40) = 60 pontos, que seria um C, mas o limite do problema crítico baixa para D.
Como subir sua nota mais rápido
- Corrija primeiro tudo o que for crítico (certificados, arquivos expostos).
- Resolva todos os problemas altos, porque um só já segura você em B.
- Adicione os cabeçalhos que faltam: linhas para copiar no seu servidor (em inglês).
- Adicione SPF e DMARC: registros para Google Workspace e Microsoft 365 (em inglês).
- Analise de novo para confirmar.
Nota gratuita x análise profunda
A nota gratuita vem só de verificações passivas. Uma análise profunda (para donos verificados, com consentimento) roda mais testes, então pode encontrar problemas que a nota gratuita não vê, e a nota pode tanto cair quanto subir.
Perguntas frequentes
Nota A é o mesmo que estar seguro?
Não. Um A quer dizer que os problemas visíveis de fora estão em boa forma. Ele não vê os arquivos do seu servidor, suas senhas nem seus backups.
Por que minha nota está limitada a B se a pontuação passa de 90?
Porque existe pelo menos um problema de risco alto. Corrija e o limite sai.
Por que minha nota mudou se eu não mudei nada?
Os certificados se aproximam do vencimento, novas vulnerabilidades são publicadas para o software que você usa, e a sua hospedagem ou CDN pode mudar cabeçalhos.
Outras ferramentas de nota usam a mesma escala?
Não. Cada ferramenta pesa os problemas de um jeito, então notas de ferramentas diferentes não são diretamente comparáveis. Esta página descreve só a escala do HackGrade.