Verificação de Security Headers
A verificação de cabeçalhos de segurança mostra quais mecanismos de proteção estão ativados no site e quais não estão. Esta é a forma mais barata de hardening: quase tudo é configurado no lado do servidor e não exige alterações no código. A ferramenta é a auditoria de cabeçalhos de segurança.
O que é verificado
| Cabeçalho | Protege contra | Importância |
|---|---|---|
| Strict-Transport-Security | Força o uso de https: protege contra o sequestro de conexão | Média |
| Content-Security-Policy | Limita de onde os scripts são carregados: a principal proteção contra injeção de código | Média |
| X-Frame-Options | Impede que o site seja incorporado em outro frame (clickjacking) | Baixa |
| X-Content-Type-Options | Impede que o navegador adivinhe o tipo do arquivo | Baixa |
| Referrer-Policy | Limita o que é enviado para análises externas na transição entre páginas | Informativa |
| Permissions-Policy | Desativa recursos desnecessários: câmera, microfone, geolocalização | Informativa |
Por onde começar
- HSTS: se o site já está totalmente em https, ele pode ser ativado com uma única linha.
- Proteção contra clickjacking e adivinhação de tipo: também uma linha, sem efeitos colaterais.
- Content-Security-Policy: o mais útil e o mais delicado. Comece no modo de relatório, caso contrário você corre o risco de quebrar seus próprios scripts.
- Outros: opcionais. Esses cabeçalhos não quebram nada e deixam a configuração mais organizada.
O que os cabeçalhos não fazem
Eles não protegem contra invasões por vulnerabilidades no código, não curam um site infectado e não substituem as atualizações do CMS. A função deles é reduzir as possibilidades de ataque no navegador do visitante e diminuir os danos se algo der errado. Uma verificação completa é feita por um scanner à parte: veja a análise de malware e backdoors.
Relação com outras verificações
Esses mesmos cabeçalhos estão incluídos no relatório do Shield e, em parte, no SEO Audit. A análise teórica de cada um está no glossário: cabeçalhos de segurança. Para ver os cabeçalhos brutos da resposta, use a verificação de cabeçalhos.
