2026-09-05
Como escolher os cabeçalhos de segurança: o que ainda é necessário, o que está obsoleto e o que faz mal
Mais cabeçalhos não é melhor. Separe-os em três grupos: ainda eficazes (CSP, HSTS, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy), obsoletos (o Expect-CT está praticamente obsoleto desde junho de 2021) e ativamente prejudiciais (o MDN marca o X-XSS-Protection como obsoleto e não padrão e alerta que ele pode criar vulnerabilidades de XSS em sites que seriam seguros). Copie uma lista desatualizada e você importa as configurações prejudiciais junto com as boas.