Teste de cabeçalhos de segurança

Verifique seus cabeçalhos de segurança e corrija em minutos.

Os cabeçalhos de segurança dizem aos navegadores como proteger seus visitantes contra scripts injetados, clickjacking e vazamento de dados. Veja quais estão faltando, com linhas que você pode colar no seu servidor ou CDN.

Análise passiva. Nada é atacado sem a sua permissão.

Cabeçalhos que verificamos

  • Strict-Transport-Security (HSTS): presente e com duração suficiente para fazer diferença.
  • Content-Security-Policy: a principal defesa contra scripts injetados e skimmers de cartão.
  • X-Frame-Options (ou frame-ancestors do CSP): impede que outros sites coloquem o seu num frame para clickjacking.
  • X-Content-Type-Options: nosniff.
  • Referrer-Policy e Permissions-Policy.
  • Atributos de cookies (Secure, HttpOnly, SameSite) e cabeçalhos que revelam versões do servidor.

Um conjunto inicial seguro

Estes cabeçalhos são seguros para quase todo site. Comece por aqui e depois adicione uma Content-Security-Policy em modo somente relatório.

nginx
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

As versões para Apache, Cloudflare e WordPress estão no guia de cabeçalhos de segurança.

Mais do que uma letra

Uma nota de cabeçalhos sozinha não diz o que fazer em seguida. O HackGrade coloca os cabeçalhos em contexto com HTTPS, versões de software, WordPress e e-mail, para você corrigir primeiro o que traz mais risco.

Perguntas frequentes

Quais cabeçalhos de segurança importam mais?

Para a maioria dos sites pequenos: primeiro HTTPS com HSTS, depois X-Content-Type-Options, uma política de frames e Referrer-Policy (todos de baixo risco), e então uma Content-Security-Policy, que exige alguns testes.

Cabeçalhos de segurança podem quebrar meu site?

Os básicos raramente quebram. Uma Content-Security-Policy rígida pode bloquear scripts de que você depende; por isso recomendamos começar com Content-Security-Policy-Report-Only.

O X-XSS-Protection ainda é necessário?

Não. Os navegadores modernos removeram o filtro XSS que ele controlava. A MDN recomenda uma Content-Security-Policy no lugar dele, então não penalizamos a falta do cabeçalho X-XSS-Protection.

Guias com correções para copiar e colar

Guia

Cabeçalhos de segurança

Cabeçalhos de segurança HTTP para copiar e colar no nginx, Apache (.htaccess), Cloudflare e WordPress: HSTS, X-Content-Type-Options, proteção contra frames, Referrer-Policy e Permissions-Policy.

Guia

Content-Security-Policy

Implante uma Content-Security-Policy sem quebrar seu site: comece em modo somente relatório, monte uma lista de permissões e depois aplique. Exemplos para nginx, Apache e WordPress.

Guia

HSTS

O que o HSTS faz, por que começar com um max-age curto, quando usar includeSubDomains e preload, com linhas para copiar e colar no nginx, Apache e Cloudflare.

Guia

Atributos de segurança dos cookies

O que fazem os atributos de cookie Secure, HttpOnly e SameSite e como defini-los no PHP, WordPress, nginx e Apache, sem quebrar cookies de que seus scripts precisam.

Guia

Esconder versões do servidor e do PHP

Pare de anunciar as versões do seu software: server_tokens no nginx, ServerTokens no Apache, expose_php no PHP e a tag generator do WordPress, e por que atualizar importa mais do que esconder.

Mais testes gratuitos

Grátis · Na hora · Sem cadastro

Descubra sua nota antes que outra pessoa descubra.

Análise passiva. Nada é atacado sem a sua permissão.

Comece grátis. Planos pagos a partir de US$ 12 por mês, ou um relatório avulso por US$ 29. Ver preços