Verificador de Cabeçalhos de Segurança HTTP & Proteção Web
Analise se o seu site possui os cabeçalhos HTTP essenciais (HSTS, CSP, X-Frame-Options) para evitar roubo de dados e invasões.
Visão geral & por que isso é importante
Os cabeçalhos HTTP de segurança são instruções que o seu servidor envia ao navegador dos visitantes para bloquear ataques cibernéticos.
A falta desses cabeçalhos expõe seu site a injeções de scripts maliciosos (XSS), roubo de cartões e senhas, e clonagem do site em páginas falsas.
Cabeçalhos de resposta HTTP fornecem instruções determinísticas ao navegador para mitigar vetores de ataque comuns antes da execução do código cliente.
A especificação HSTS (RFC 6797) força o uso exclusivo de HTTPS, neutralizando tentativas de interceptação e downgrade de protocolo (SSL Stripping).
Em paralelo, o Content-Security-Policy (CSP Level 3) restringe origens permitidas para scripts, fontes, conexões e quadros, enquanto as diretivas X-Content-Type-Options e Referrer-Policy blindam a integridade dos dados e o sigilo das rotas navegadas pelos usuários.
Vulnerabilidades bloqueadas por cabeçalhos de segurança
Bloqueie Roubo de Dados e Injeção de Scripts (CSP)
A Content-Security-Policy proíbe que scripts invasores rodem no navegador dos seus clientes para capturar senhas e dados bancários.
Evite que o seu Site seja Clonado em Iframes (Anti-Clickjacking)
O cabeçalho X-Frame-Options impede que criminosos embutam suas telas de login ou pagamento em páginas fantasmas.
Exija Conexão Segura em Todas as Páginas (HSTS)
Garante que o visitante navegue exclusivamente via HTTPS criptografado, eliminando brechas de interceptação em redes públicas.
Prevenção Ativa Contra Ataques XSS e Clickjacking
A parametrização do cabeçalho Permissions-Policy combinada ao isolamento cross-origin (COOP e COEP) impede que páginas maliciosas acessem recursos do navegador através de janelas pop-up ou frames embutidos.
Configuração Recomendada para Nginx
Adicione estes cabeçalhos no bloco de configuração do seu servidor web: A inclusão metódica de cabeçalhos de segurança HTTP mitiga ataques de injeção de scripts maliciosos e sequestro de sessão diretamente na camada do navegador cliente, complementando firewalls de aplicação web corporativos.
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;