Saltar para o conteúdo
ipaddress.fi

Verificação de cabeçalhos de segurança

Obtemos os cabeçalhos de resposta de um URL público (sem o conteúdo) e verificamos um a um os cabeçalhos de proteção.

Exemplos:

Algumas das proteções mais eficazes da web são simples cabeçalhos de resposta HTTP, definidos uma vez no servidor. A verificação obtém os cabeçalhos de resposta de um URL público, segue os redirecionamentos até à página final e avalia-os um a um:

  • Strict-Transport-Security faz os navegadores usarem apenas HTTPS.
  • Content-Security-Policy limita de onde podem ser carregados scripts e outros recursos e, com frame-ancestors, quem pode incorporar a página.
  • X-Content-Type-Options: nosniff impede os navegadores de adivinharem tipos de ficheiro.
  • Referrer-Policy controla quanto do URL é passado a outros sites.
  • Permissions-Policy desliga funcionalidades do navegador que o site não usa.
  • Cross-Origin-Opener-Policy isola a página das janelas que abre.

São também assinaladas versões de software expostas em Server ou X-Powered-By. O resultado é uma lista de verificação, não uma nota de segurança: os cabeçalhos são uma camada de proteção entre muitas.

Perguntas frequentes

Porque é que um HSTS inferior a seis meses é considerado fraco?

Os navegadores só se lembram da obrigação de HTTPS durante max-age segundos. Seis meses a um ano é a recomendação habitual e um requisito das listas de pré-carregamento dos navegadores.

O X-Frame-Options ainda é necessário?

A diretiva CSP frame-ancestors substitui-o nos navegadores modernos. Aqui, qualquer um dos dois conta como proteção contra incorporação.

A ferramenta envia algo diferente de um pedido normal?

Não. Envia um pedido GET normal por cada passo de redirecionamento, lê apenas os cabeçalhos e fecha a ligação.

Relacionado