Nota de segurança de A a F: como ela é formada
A nota de segurança é o resultado, em letra, da verificação feita no módulo Security Shield. O site começa com 100 pontos, e cada problema identificado desconta pontos conforme a gravidade. O número final é convertido em uma letra. A escala vai de A+ (praticamente limpo) a F (muitos problemas graves).
Como os achados viram uma letra
O peso de um achado depende do nível de gravidade, que por sua vez é definido pela escala CVSS, amplamente aceita: pontuação 9 é crítica, 7 é alta, 4 é média, e abaixo disso é baixa. Existe também o nível "info", que é apenas informativo e não afeta a pontuação.
| Nível | Dedução pelo primeiro achado |
|---|---|
| Crítico | 35 pontos |
| Alto | 18 pontos |
| Médio | 8 pontos |
| Baixo | 3 pontos |
| Info | 0 |
Cada achado seguinte do mesmo nível desconta menos que o anterior: o peso diminui. Isso é feito por uma questão de justiça: vinte observações menores não devem zerar a nota de um site sem vulnerabilidades graves. O contrário também vale: um único achado crítico derruba a nota imediatamente para perto de C, e nenhuma quantidade de marcas verdes de aprovação compensa isso.
Escala
| Pontos | Nota | Como interpretar |
|---|---|---|
| 95 ou mais | A+ | Nenhum problema significativo encontrado |
| 85–94 | A | Observações menores |
| 75–84 | B | Há espaço para melhorias, sem urgência |
| 65–74 | C | Geralmente indica um achado grave |
| 50–64 | D | Vários problemas significativos |
| 35–49 | E | Requer atenção em breve |
| abaixo de 35 | F | Problemas críticos, resolva imediatamente |
O que exatamente é verificado
Em qualquer modo, incluindo a verificação rápida e gratuita: cabeçalhos de segurança e flags de cookies, TLS e certificado, bibliotecas conectadas, busca por código malicioso, versões de CMS e vulnerabilidades conhecidas, vazamento de chaves, registros DNS e de e-mail, inclusão do domínio em listas negras. Nos modos pagos, há verificações adicionais: busca por arquivos abertos e caminhos de serviço, política de CORS, superfície de injeção e SSRF, sinais de cloaking e spam de SEO, proteção do WordPress e, no modo mais completo, enumeração de subdomínios e risco de sequestro. Um agente de servidor opcional funciona separadamente: ele examina os arquivos por dentro e procura backdoors, alterações no núcleo do CMS e administradores não autorizados.
A letra e o "semáforo" não são a mesma coisa
Além da pontuação, o relatório inclui um veredito: “Limpo”, “Há observações”, “Há vulnerabilidades”, “Riscos graves”, “Infectado”. Ele é calculado não pelos pontos, mas pela composição dos achados, ou seja, se há entre eles sinais de infecção ativa. Por isso, o veredito e a letra podem divergir: um único achado de “domínio em lista negra” mantém uma nota bastante razoável, mas o veredito será “Infectado”. Leia primeiro o veredito, depois a letra.
Onde a nota aparece
- Cartão do projeto no Shield. Um anel com a letra e a pontuação, e acima dele o veredito e o número de verificações aprovadas.
- Listas de sites e histórico de verificações. A pontuação de cada verificação, mostrando a evolução.
- Relatório para impressão e selo público. O selo pode ser incorporado ao site.
- Notificação por e-mail de verificação concluída. A pontuação aparece direto no assunto do e-mail.
- Notificação de queda. Chega quando há uma queda significativa na pontuação entre verificações, e pode ser configurada em notificações.
Como melhorar a nota
A ordem de trabalho é simples: primeiro, tudo o que estiver relacionado a infecção, depois os achados críticos e, em seguida, os de nível alto. Para alguns problemas, o serviço gera um trecho de configuração pronto ou uma lista de registros DNS, mas eles precisam ser aplicados manualmente pelo administrador do site. A pontuação só é recalculada com uma nova verificação: até que ela seja iniciada, a letra continua a mesma, por mais correções que você tenha feito. Saiba mais sobre o serviço no artigo sobre o Shield.
Equívocos comuns
- “A significa que o site não será hackeado.” Não. A pontuação reflete o que é visível externamente no momento da verificação e não diz nada sobre vulnerabilidades no seu código.
- “Baixei a correção automática: a pontuação aumentou.” Enquanto o fragmento não for aplicado no servidor e uma nova verificação não for feita, nada vai mudar.
- “As letras são comparáveis entre sites.” Atenção: as verificações gratuitas e pagas têm conjuntos de testes diferentes. Compare a pontuação do site principalmente com a pontuação anterior dele.
- “Uma auditoria técnica vai mostrar a mesma coisa.” Não, são coisas diferentes: o SEO Audit analisa o SEO técnico, o Shield analisa a segurança.