Como ler o relatório do Shield
O Shield verifica o site não como um robô de busca, mas como um scanner de segurança: ele procura vazamentos de acesso, vestígios de invasão, componentes vulneráveis e erros de configuração. No catálogo, há 79 verificações disponíveis em doze categorias, e cada achado tem um nível de perigo, uma pontuação CVSS e um link para os classificadores CWE e OWASP.
Cinco níveis
| Nível | O que significa na prática |
|---|---|
| Crítico | O site foi comprometido ou o acesso está exposto: aja hoje |
| Alto | Existe um caminho funcional para tomada de controle ou infecção |
| Médio | Facilita um ataque ou expõe informações desnecessárias |
| Baixo | Problemas menores de configuração |
| Informativo | Não é um problema, mas uma observação: algo está faltando, mas não é essencial |
O que é verificado
| Categoria | Exemplos de achados |
|---|---|
| Código malicioso | Script injetado, skimmer de dados de pagamento, minerador, links ocultos, cloaking |
| Backdoors | Web shell, administrador não autorizado, arquivos do núcleo modificados, uploads suspeitos |
| Vazamentos | .env e .git abertos, backups, arquivos com dados de acesso, phpinfo, listagem de diretórios |
| CMS | Instalador aberto, componentes vulneráveis e abandonados, versão exposta |
| DNS e e-mail | SPF, DMARC, DNSSEC, possibilidade de interceptação de subdomínio |
| Conexão | Certificado, protocolos, conteúdo misto |
| Cabeçalhos e cookies | HSTS, CSP, proteção contra clickjacking, flags de cookies |
| Injeções e acesso | Sinais de SQL injection, CORS excessivamente aberto, painel administrativo acessível |
Três modos de verificação
O modo Gratuito é passivo: analisa o que o próprio site fornece, sem sondar endereços. O modo Profundo verifica, além disso, cerca de cento e cinquenta caminhos característicos. O modo Completo verifica cerca de seiscentos. Quanto mais ampla a sondagem, maior a chance de encontrar um backup esquecido ou um instalador aberto. Os preços atuais estão na página “Tarifas e Preços”.
Como interpretar a nota
A nota geral Nota A–F é baseada nos problemas encontrados, levando em conta o peso de cada um. Uma nota abaixo da média quase sempre significa uma de duas coisas: ou há arquivos desnecessários abertos, ou os cabeçalhos não estão configurados. Ambos podem ser corrigidos sem refazer o site: veja a análise de vazamentos.