Pular para o conteúdo
ITDPlataforma de Segurança Web
ITD
Buscar

Verificação de cabeçalhos de segurança

Informe a URL do seu site para avaliar seus cabeçalhos HTTP de segurança (CSP, HSTS, X-Frame-Options, …), com correções para o que estiver faltando e um conjunto reforçado para copiar e colar.

O servidor deste site busca a URL de destino (até 4 requisições com redirecionamentos no mesmo host) e avalia apenas os cabeçalhos da resposta (o corpo não é armazenado). O acesso a endereços internos / privados está bloqueado.
Use apenas em sites que você possui ou administra. Não use para analisar o site de outra pessoa sem permissão.

Usar a ferramenta

Envio
A URL, para o servidor deste site
Armazenamento
O corpo da resposta e os resultados não são guardados (a URL pode ficar em registros)
API externa
O servidor busca a URL de destino (até 4 requisições)
Alvo
Apenas seus sites (sem verificar a posse); endereços internos bloqueados
Detalhes
  • A URL digitada é enviada ao servidor deste site, que a busca: até 4 requisições incluindo redirecionamentos, só o mesmo host (com ou sem www), 8 segundos e 200 KB por resposta.
  • O corpo da resposta e os resultados não são guardados. A URL pode ficar no histórico do navegador e nos registros de acesso, então não digite URLs com segredos.
  • Use em sites que você possui ou administra. A posse não é verificada. Conexões a endereços internos ou privados são bloqueadas.
  • O carregamento da página em si fica no registro de acesso (endereço IP, horário, user agent etc.). As páginas de ferramentas não carregam anúncios nem análise de acesso. Política de privacidade
Testar um exemplo (verificar este próprio site)

Como usar

  1. 1

    Informe a URL de um site que você controla.

  2. 2

    Os principais cabeçalhos de segurança são avaliados quanto à presença e à força.

  3. 3

    Reforce os itens «ausentes» / «fracos» usando a correção mostrada e o conjunto recomendado.

Por que importa

Cabeçalhos de segurança são uma camada de defesa barata e eficaz. O CSP limita o impacto de XSS, o HSTS fixa o tráfego em HTTPS, o X-Frame-Options bloqueia o clickjacking: cada um são poucas linhas de configuração do servidor. Comece com valores estritos e os relaxe apenas quando necessário.

Perguntas frequentes

QTudo bem verificar o site de outra pessoa?
A

A ferramenta busca a URL (até 4 requisições com redirecionamentos no mesmo host) e lê os cabeçalhos da resposta: não há varredura ativa nem ataque (o mesmo escopo de abri-la em um navegador). Ela foi pensada para verificar o seu próprio site.

QQualquer resultado abaixo de A é perigoso?
A

Não. Alguns cabeçalhos não se aplicam a todos os sites. Os importantes são CSP, HSTS, X-Frame-Options e X-Content-Type-Options; com esses em vigor, você está em boa forma.

Páginas relacionadas