Teste de segurança de site grátis

Seu site é seguro? Descubra em segundos.

Cole o endereço e receba uma nota de segurança de A a F com os problemas que mais importam, ordenados pelo risco real. Passivo e somente leitura: olhamos o que o navegador de qualquer visitante já vê.

Análise passiva. Nada é atacado sem a sua permissão.

O que o teste gratuito verifica

  • HTTPS e certificados: redirecionamento de HTTP para HTTPS, confiança e validade do certificado, versão do TLS, HSTS.
  • Cabeçalhos de segurança: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy.
  • Cookies e software: cookies sem os atributos Secure/HttpOnly/SameSite, versões do servidor e do PHP à mostra, bibliotecas JavaScript desatualizadas, conteúdo misto.
  • WordPress: versão pública do núcleo, vulnerabilidades conhecidas no núcleo, em plugins e temas, componentes desatualizados, nomes de usuário expostos, XML-RPC.
  • Falsificação de e-mail: registros SPF e DMARC do seu domínio, além de um arquivo security.txt.

O que você recebe

  • Uma nota de A a F e uma pontuação de 0 a 100 que você pode verificar de novo após cada correção.
  • Cada problema em linguagem simples, ordenado de crítico a informativo.
  • Correções passo a passo para os seus 3 primeiros problemas, grátis. Linhas para copiar e colar no nginx, Apache (.htaccess), Cloudflare e WordPress.
  • Uma nova verificação mensal de um site quando você cria uma conta gratuita.

Testes mais profundos, só com a sua permissão

Depois que você comprova que o domínio é seu (um registro DNS, um arquivo ou uma meta tag) e dá seu consentimento explícito, os planos pagos rodam testes mais profundos:

  • Arquivos expostos como .env, .git, backups, dumps de banco de dados, phpinfo e logs de depuração.
  • Protocolos e cifras TLS, portas abertas, listagem de diretórios, painéis de administração.
  • Testes de injeção (SQLi, XSS, SSTI, redirecionamento aberto), problemas de CORS, CSRF e JWT.
  • Para lojas: adulteração de preços no carrinho e no checkout, abuso de cupons, exposição a testes de cartão e sinais de skimmers (scripts de checkout desconhecidos ou alterados, formulários de pagamento falsos, domínios parecidos).
  • Código injetado, como páginas de CAPTCHA falso / ClickFix e scripts carregados de blockchains.

O que nenhum scanner remoto consegue ver

Uma análise remota vê o que a internet vê: suas páginas, cabeçalhos, certificados e DNS. Ela não consegue ler os arquivos do seu servidor, seu banco de dados nem seu painel de hospedagem; por isso uma nota boa é um sinal forte, não uma garantia. Dizemos exatamente o que verificamos e o que não verificamos, e os testes mais profundos só rodam depois que você comprova que o site é seu.

Perguntas frequentes

É seguro rodar o teste de segurança gratuito?

Sim. Ele só faz o mesmo tipo de requisição que o navegador de um visitante comum: páginas, cabeçalhos, certificados e registros DNS públicos. Nada é atacado e nenhuma carga é adicionada.

Como a nota é calculada?

Cada achado tem uma gravidade. Problemas críticos e altos, como não ter HTTPS ou um plugin com uma vulnerabilidade conhecida, derrubam a pontuação muito mais do que a falta de cabeçalhos recomendados. A letra vem da pontuação.

Preciso instalar alguma coisa?

Não. O teste gratuito não exige plugin nem código. Você só adiciona um registro DNS, um arquivo ou uma meta tag se quiser os testes mais profundos, baseados no seu consentimento.

Funciona para sites que não são WordPress?

Sim. Todo site recebe as verificações de HTTPS, cabeçalhos, cookies, software e e-mail. Sites WordPress também recebem as verificações de núcleo, plugins, temas e usuários.

Guias com correções para copiar e colar

Guia

Cabeçalhos de segurança

Cabeçalhos de segurança HTTP para copiar e colar no nginx, Apache (.htaccess), Cloudflare e WordPress: HSTS, X-Content-Type-Options, proteção contra frames, Referrer-Policy e Permissions-Policy.

Guia

HSTS

O que o HSTS faz, por que começar com um max-age curto, quando usar includeSubDomains e preload, com linhas para copiar e colar no nginx, Apache e Cloudflare.

Guia

HTTPS e conteúdo misto

Force o HTTPS com um único redirecionamento 301, corrija avisos de conteúdo misto, evite loops de redirecionamento no Cloudflare e atualize links http:// antigos no WordPress com o WP-CLI.

Guia

SPF, DKIM e DMARC

Impeça golpistas de enviar e-mails em nome do seu domínio. Registros SPF e DMARC para copiar e colar para Google Workspace e Microsoft 365, além de um caminho seguro de p=none a p=reject.

Guia

Verificar a segurança do seu site

Um jeito gratuito e seguro de verificar a segurança do seu site: HTTPS, cabeçalhos de segurança, registros de e-mail, atualizações do WordPress e arquivos expostos, com os comandos exatos e como é um bom resultado.

Guia

As notas de segurança A–F

Como é calculada a nota de segurança A–F do HackGrade: pontos por gravidade de cada problema, limites por categoria e as regras que limitam a nota quando há um problema crítico ou de risco alto.

Guia

Checklist de segurança para pequenas empresas

Um checklist prático de segurança de sites para pequenas empresas: HTTPS, atualizações, backups, verificação em duas etapas, cabeçalhos de segurança, registros de e-mail, proteção do domínio e monitoramento, com links para correções passo a passo.

Mais testes gratuitos

Grátis · Na hora · Sem cadastro

Descubra sua nota antes que outra pessoa descubra.

Análise passiva. Nada é atacado sem a sua permissão.

Comece grátis. Planos pagos a partir de US$ 12 por mês, ou um relatório avulso por US$ 29. Ver preços