Análise de headers de segurança
Security Header Scan
Avalia os headers HSTS, CSP, frame, referrer e permissions de um site e mostra o que adicionar.
A maioria dos cabeçalhos que endurecem um site custa uma linha de configuração cada e está ausente da maioria dos sites porque ninguém olhou. Esta ferramenta busca uma URL e avalia o que voltou — HSTS, CSP, enquadramento, referrer e política de permissões — com a linha a acrescentar para cada um que estiver faltando.
Nosso servidor faz esta requisição por você. Enviamos a ele apenas a URL que você digitou — nenhum dos seus cookies nem seu login vai junto. O servidor só se conecta a endereços públicos e recusa os privados e internos.
Como usar
Informe a URL
Use o endereço que as pessoas de fato visitam. Os cabeçalhos frequentemente diferem entre o domínio raiz e o `www`, e entre o documento HTML e os assets estáticos servidos por outra camada.
Corrija primeiro os de enquadramento e transporte
`Strict-Transport-Security` e uma diretiva `frame-ancestors` são baratos, não têm efeito na renderização e fecham duas classes inteiras de ataque. Comece por aí.
Trate a CSP separadamente
Uma política de segurança de conteúdo precisa ser construída sobre o que as suas páginas carregam, não colada de um relatório. O construtor de CSP faz essa parte.
Perguntas frequentes
Uma nota boa é um site seguro?
Não. Significa que um conjunto de cabeçalhos de resposta está presente. Não diz nada sobre autenticação, falhas de injeção, controle de acesso ou o que está rodando atrás da URL — a substância inteira da segurança de um site fica fora de vista aqui.
Meus cabeçalhos estão definidos, mas não são detectados.
Confira a resposta que está de fato sendo avaliada — um redirecionamento de `http` para `https`, ou do domínio raiz para `www`, pode ser o que foi buscado. Uma CDN ou um WAF na frente também pode remover ou acrescentar cabeçalhos depois que a sua origem os define.
Devo habilitar o preload do HSTS?
Só quando todo subdomínio, presente e futuro, puder servir HTTPS — o preload fica gravado nos navegadores e a remoção leva meses. Rode `max-age` com um valor curto primeiro e aumente quando tiver certeza.
Pode receber de
Inspetor de headers HTTP
HTTP Header Inspector
Busca uma URL e mostra os headers completos da resposta, a cadeia de redirecionamentos, os tempos e a compressão usada.
Verificador de certificado SSL
SSL Certificate Checker
Conecta a um host, mostra a cadeia servida, a expiração, o protocolo e os cifradores suportados, e aponta falhas na cadeia.
Hash de integridade de subrecurso
Subresource Integrity Hash
Calcula o atributo Subresource Integrity (sha256/384/512) de um script ou folha de estilo que você cola ou solta.
Gerador de CSP
CSP Builder
Monta uma Content-Security-Policy a partir de um formulário guiado ou de um relatório, e explica cada diretiva.
Em seguida
Estas aceitam o que esta ferramenta produz, então o resultado pode ir direto.
Testador de CORS
CORS Tester
Envia o preflight que um navegador enviaria de uma origem escolhida mais um GET com aquele Origin, e explica pelas regras do padrão Fetch exatamente qual header bloqueou.
Gerador de CSP
CSP Builder
Monta uma Content-Security-Policy a partir de um formulário guiado ou de um relatório, e explica cada diretiva.
Inspetor de headers HTTP
HTTP Header Inspector
Busca uma URL e mostra os headers completos da resposta, a cadeia de redirecionamentos, os tempos e a compressão usada.
Verificador de certificado SSL
SSL Certificate Checker
Conecta a um host, mostra a cadeia servida, a expiração, o protocolo e os cifradores suportados, e aponta falhas na cadeia.
Limpar CSV
CSV Cleaner
Apara células, normaliza cabeçalhos, corrige formatos de número e data e aponta as linhas com o número errado de colunas.
Juntar tabelas CSV
CSV Join
Junta duas tabelas por uma coluna-chave com semântica inner, left, right ou outer e mostra as linhas sem correspondência.