Verificador de Cabeçalhos de Segurança
Este verificador grátis de cabeçalhos de segurança solicita sua URL e classifica seis cabeçalhos de resposta em 100 com uma letra de A a F: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy e Permissions-Policy. Cada lacuna vem com uma linha pronta para colar no Nginx e Apache, para que você possa corrigir em minutos.
Security Headers Checker
Technical SEO
Sobre esta ferramenta
Cabeçalhos de segurança são instruções curtas que seu servidor envia com cada página e dizem ao navegador como se comportar com rigor. Podem forçar HTTPS, impedir que suas páginas sejam enquadradas por outros sites, bloquear o navegador de adivinhar tipos de arquivo, limitar quais scripts podem ser executados e decidir quanto do seu endereço é compartilhado quando um visitante clica em um link. A maioria custa uma linha de configuração do servidor.
O verificador busca a página e classifica seis cabeçalhos: Strict-Transport-Security (20 pontos), Content-Security-Policy (25), X-Content-Type-Options (15), proteção contra clickjacking por X-Frame-Options ou frame-ancestors (15), Referrer-Policy (10) e Permissions-Policy (15). Um valor fraco ganha metade dos pontos. O total fornece a classificação: A a partir de 90, B a partir de 75, C a partir de 60, D a partir de 40, E a partir de 20 e F abaixo disso.
A classificação mede quais cabeçalhos estão presentes e não são obviamente fracos, não se o seu site é seguro. Um site pode marcar A e ainda ter código vulnerável, e uma Content-Security-Policy é verificada quanto à presença e fraquezas óbvias, não testada contra seus scripts. Adicione cabeçalhos um de cada vez e teste o site, especialmente a Content-Security-Policy, que pode bloquear scripts dos quais você depende.
Perguntas frequentes
Qual é uma boa classificação de cabeçalhos de segurança?
A ou B é um resultado forte para a maioria dos sites. Uma Content-Security-Policy é o cabeçalho mais difícil de adicionar com segurança, então muitos sites bons ficam em B ou C até construir uma política. Corrija os rápidos primeiro: HSTS, X-Content-Type-Options, uma regra de enquadramento, Referrer-Policy e Permissions-Policy.
Os cabeçalhos de segurança melhoram meu ranking?
Google não classifica sites por seus cabeçalhos. Eles protegem visitantes e sua marca, e HSTS pode economizar um redirecionamento. Também constroem confiança com clientes e parceiros conscientes de segurança. Trate-os como higiene do site que pertence ao lado de HTTPS, não como uma tática de SEO.
Uma Content-Security-Policy pode quebrar meu site?
Sim. Uma política rigorosa bloqueia qualquer script, estilo ou enquadramento que não permite, incluindo análises, widgets de chat e código de anúncios, então uma política apressada pode quebrar recursos dos quais os visitantes dependem. Comece com Content-Security-Policy-Report-Only, revise o que seria bloqueado, ajuste a política e depois mude para modo de execução.
Onde adiciono esses cabeçalhos?
Na configuração do servidor web (Nginx add_header, Apache Header set), em uma regra CDN como Cloudflare Transform Rules, ou no código da sua aplicação. Em hospedagem compartilhada você geralmente pode adicioná-los no arquivo .htaccess. Os trechos de correção abaixo mostram formas Nginx e Apache.