Security Shield: verificação de segurança do site
O que o scanner verifica em oito áreas, como interpretar a nota de A a F, por que verificar o domínio, o que a correção automática pode fazer e o que a verificação não substitui.
Security Shield: serviço de verificação de segurança de sites. Ele analisa o site por fora, como um invasor faria, e mostra o que pode ser melhorado.
O que é verificado
| Área | O que verificamos |
|---|---|
| Security headers | HSTS, Content-Security-Policy, proteção contra clickjacking e contra falsificação de tipo de conteúdo |
| Criptografia | Presença de HTTPS e redirecionamento para ele, validade e expiração do certificado, versões obsoletas do TLS |
| Vazamento de dados | Arquivos e pastas de serviço expostos, backups, páginas de debug, versões de software nos headers |
| Cookies e CORS | Flags Secure, HttpOnly e SameSite, regras de acesso entre domínios excessivamente amplas |
| CMS e componentes | Versões desatualizadas, vulnerabilidades conhecidas de componentes, painéis e cadastro abertos |
| Sondagens ativas | XSS refletido, indícios de SQL injection, redirecionamentos abertos |
| E-mail e DNS | SPF, DMARC, DNSSEC, CAA, risco de sequestro de subdomínio |
| Malware | Scripts skimmer, mineradores, frames ocultos, links de spam, inclusão do domínio em listas de bloqueio |
O que o Shield não faz
Esta é uma verificação externa: ela não substitui uma auditoria completa de código nem um pentest. O scanner não tem uma verificação separada de CSRF, mas alguns riscos dessa classe aparecem indiretamente nas verificações das flags de cookie.Nota de A a F
Como resultado da varredura, o site recebe uma nota em letra e uma lista de achados com níveis de severidade. Os achados vêm acompanhados de classificação segundo os padrões aceitos e de uma explicação clara dos riscos e de como corrigi-los.
Verificação de domínio
A verificação rápida está disponível para qualquer site. As varreduras profundas exigem a confirmação de que o site é seu: por meio de um registro DNS, de um arquivo na raiz ou de uma meta tag. Isso evita que o serviço seja usado para varrer recursos de terceiros.
O que fazer com os resultados
- Correção automática: o serviço gera um trecho pronto de configuração do servidor ou uma lista de registros DNS para os problemas identificados.
- Monitoramento: assinatura de verificações regulares para descobrir os problemas antes dos visitantes.
- Agente no servidor: um script opcional para verificar os arquivos por dentro, em busca de sinais de infecção.
Análise dos achados do Shield
A estrutura do relatório e os dois grupos mais comuns de achados: arquivos expostos e sinais de invasão.
| Artigo | Sobre |
|---|---|
| Como ler o relatório do Shield | Setenta e nove verificações em doze categorias, com classificação CVSS e links para CWE e OWASP. |
| Shield: vazamentos de arquivos e acessos | A categoria mais comum de achados: não são vírus, e sim arquivos esquecidos, como .env, .git, backups e instaladores. |
| Shield: malware e backdoors | Como uma infecção difere de um backdoor, quais rastros o scanner procura, por que o malware volta após a limpeza e em que ordem tratar o site. |
Perguntas frequentes
O Shield verifica proteção contra CSRF?
O scanner não tem uma verificação de CSRF separada. Alguns riscos dessa classe aparecem indiretamente nas verificações de flags de cookies.
Por que verificar o domínio?
Scans profundos só são possíveis para os seus próprios sites: a verificação evita que o serviço seja usado contra outros recursos.
Isso substitui um pentest?
Não. Esta é uma verificação automatizada externa, que não substitui auditoria de código nem testes de intrusão manuais.
Este artigo foi útil?
Obrigado! Vamos considerar isso nas próximas atualizações.
Experimente no seu projeto
Tudo o que está descrito no artigo está disponível no painel: o bônus de cadastro já está no seu saldo.
Abrir painel