Verificar site seguro
Digite um domínio e verificamos a página inicial de fora, como um visitante a vê: sinais de código malicioso, listas de bloqueio, SSL, cabeçalhos de segurança, cookies, CMS desatualizado e registros de e-mail. Sem instalar nada e sem cadastro.
O que é verificado
- Código da página inicial: JavaScript ofuscado, iframes ocultos, mineradores de criptomoeda, padrões de skimmer de cartão, scripts de hosts suspeitos e chaves de API no HTML.
- Listas de bloqueio: URLhaus (base de URLs maliciosas) e Spamhaus DBL.
- HTTPS, redirecionamento de HTTP para HTTPS, validade do certificado SSL, TLS 1.0/1.1 obsoleto e conteúdo misto.
- Cabeçalhos de segurança (HSTS, CSP, X-Frame-Options e outros), atributos de cookies e exposição da versão do servidor.
- CMS, plugins do WordPress e bibliotecas JavaScript visíveis no código, comparados com uma base de vulnerabilidades conhecidas (CVE).
- E-mail e DNS: SPF, DMARC, CAA, MTA-STS.
O que uma verificação externa não consegue ver
- Arquivos no servidor: web shells, backdoors e arquivos PHP infectados que não exibem nada na página inicial.
- Outras páginas do site — só a página inicial é verificada.
- Malware exibido só para o Googlebot, usuários de celular, visitantes vindos da busca ou de certos países (cloaking).
- O painel de administração, o banco de dados, as senhas e o código interno ou as versões de plugins que não aparecem no HTML.
- Arquivos de serviço expostos (.git, .env, backups) e vulnerabilidades que só testes ativos revelam — não fazemos isso em sites sem comprovação de propriedade.
Precisa de mais do que uma visão de fora? PromoPilot Shield
Esta é a parte grátis do nosso scanner de segurança. O Shield adiciona verificações que exigem comprovar que o site é seu:
- Verificação profunda (pagamento único de $19): .git/.env e backups expostos, vulnerabilidades do CMS e de plugins, superfície de injeção e SSRF, CORS, verificação de cloaking e spam de SEO como Googlebot. Relatório com IA e plano de correção, além de PDF.
- Correções prontas: arquivo .htaccess, configuração do nginx e registros DNS gerados a partir das ocorrências (nas verificações pagas).
- Um agente de servidor somente leitura que procura web shells, backdoors e código injetado nos arquivos do site e verifica a integridade do núcleo do WordPress (com auditoria completa ou assinatura).
- Monitoramento a partir de $12/mês: novas verificações agendadas e alertas sobre novas ameaças e vencimento do certificado.
Verificar separadamente
Fatos principais
O scanner verifica seu site de fora, como um visitante o vê: página inicial, cabeçalhos, cookies, TLS, registros de DNS e e-mail, sinais de código malicioso e versões do CMS e de bibliotecas. É uma verificação passiva, sem ataques nem adivinhação de caminhos, por isso é segura para o site, mas não substitui uma auditoria completa e não enxerga ameaças no servidor nem áreas privadas.
- Preço
- Grátis
- Cadastro
- Não é necessário
- Processamento
- No nosso servidor: ele acessa sua página inicial como um visitante comum, analisa cabeçalhos, TLS, DNS e o código da página e compara as versões com uma base de vulnerabilidades
- Entrada
- O endereço de um site público (domínio)
- Limites
- Sem cadastro: 4 verificações por minuto e 10 novas por dia (30 após o login, ilimitadas no Pro); o resultado de um site fica em cache por 6 horas; no máximo 6 verificações rodam ao mesmo tempo em todo o serviço
- Resultado
- Um relatório com ocorrências por gravidade: cabeçalhos de segurança e cookies, TLS, sinais de código malicioso, CMS e bibliotecas desatualizados com vulnerabilidades conhecidas, SPF/DMARC/CAA, reputação do domínio e dicas de correção
- Última atualização
Scanner de segurança de site grátis: verifique se o site é seguro
Esta ferramenta verifica um site de fora — do jeito que um visitante, um navegador e um buscador o veem. Ela carrega a página inicial e procura no código sinais de infecção: JavaScript ofuscado, iframes ocultos, mineradores de criptomoeda, código que rouba dados de cartão de pagamento, scripts de hosts suspeitos e chaves de API esquecidas no HTML. O domínio é consultado na base de URLs maliciosas URLhaus e na Spamhaus DBL. Além disso, são verificados o HTTPS e o certificado SSL, versões obsoletas de TLS, cabeçalhos de segurança, atributos de cookies, versões do CMS, de plugins do WordPress e de bibliotecas JavaScript em uma base de vulnerabilidades conhecidas, e os registros de e-mail SPF, DMARC, CAA e MTA-STS. A verificação é passiva: sem força bruta de caminhos, sem payloads de ataque, sem tentativas de login no painel. Você recebe uma nota de A+ a F e uma lista de ocorrências agrupadas por risco, cada uma com uma breve explicação.
Como usar
- Digite um domínio ou a URL de qualquer página — a página inicial desse domínio será verificada
- Aguarde o fim da verificação — geralmente de 5 a 30 segundos
- Comece pelas ocorrências críticas e altas e depois resolva o resto
FAQ
Para quem é e usos comuns
- Donos de sites. Encontre problemas óbvios: versão antiga do CMS, TLS fraco, falta de cabeçalhos de segurança.
- Suspeita de invasão. Procure sinais de código malicioso no HTML e confira a reputação do domínio (URLhaus e, quando há uma chave configurada, Safe Browsing).
- E-mail e domínio. Confirme que SPF, DMARC e CAA existem.
Limitações, com transparência
- Só a página inicial. Outras seções, painéis de administração e áreas privadas não são verificados.
- Só verificações passivas. Não testamos caminhos como /.env ou /.git nem fazemos testes de injeção ou CORS, então alguns problemas passam despercebidos.
- De fora não dá para ver o servidor. Malware nos arquivos da hospedagem que não aparece na resposta do site não será encontrado por esta ferramenta.
- A correspondência com CVEs é aproximada. As versões são deduzidas de sinais no HTML e nos cabeçalhos e podem estar ocultas.
- Limites. 10 verificações novas por dia para visitantes, 30 após o login; o resultado de um site fica em cache por 6 horas.
Veja também: cabeçalhos de segurança, verificador de SSL, SPF, DMARC.
PromoPilot vs. alternativas: comparação
Comparamos apenas o que está confirmado nas páginas de cada serviço. Onde não conseguimos confirmar um dado, a célula mostra "—".
| Parâmetro | PromoPilot | Sucuri SiteCheck | MDN HTTP Observatory |
|---|---|---|---|
| Verificação externa, nada para instalar | ✓ | ✓ scanner grátis; vê só o que é visível no nível do navegador | ✓ verificação automática da Mozilla |
| Detecção de malware | ✓ sinais no HTML, URLhaus | ✓ malware conhecido e status em blacklists | — |
| Cabeçalhos de segurança e TLS | ✓ | ✓ problemas de configuração e recomendações de segurança | ✓ avaliação detalhada dos cabeçalhos HTTP e de outras configurações-chave de segurança |
| CMS e bibliotecas desatualizados | ✓ | ✓ CMS desatualizado e plugins e extensões vulneráveis | — |
Role a tabela para os lados
Onde somos mais fracos: só a página inicial é verificada e só de forma passiva, ameaças no servidor ficam invisíveis, as versões são deduzidas e podem estar ocultas, e há limites diários.
Quando escolher o PromoPilot: Quando você precisa de um retrato rápido e externo da segurança de qualquer site público e de uma lista de problemas evidentes. Para áreas privadas, testes ativos de vulnerabilidade e monitoramento, você precisa de um domínio verificado no Shield pago ou de scanners especializados.
Verificado em: . "—" significa que não foi confirmado na página oficial; condições e preços mudam, então confira os sites dos próprios serviços.
Verificar se um site é seguro de fora: o que a análise mostra e o que não mostra
Um scanner online de malware funciona como o navegador de um visitante: ele solicita a página inicial e analisa o que o servidor devolve. É assim que você consegue verificar se um site é seguro e procurar sinais de site malicioso: se há código malicioso embutido nessa página — um script de redirecionamento, um iframe oculto, um minerador de criptomoeda, um skimmer no formulário de pagamento —, ele aparece. Se o malware está em arquivos no servidor e não exibe nada na página inicial, nenhum scanner externo vai encontrá-lo, seja qual for o nome dele. Por isso, um resultado limpo significa “nenhum sinal de infecção na página inicial nem em listas de bloqueio públicas”, e não “este site com certeza não foi hackeado”.
| Visível de fora | Invisível de fora |
|---|---|
| Código da página inicial: JavaScript ofuscado, iframes ocultos, scripts de hosts suspeitos | Web shells, backdoors e arquivos PHP infectados que não exibem nada |
| Se o domínio está em bases de URLs maliciosas e em listas de bloqueio de spam | Páginas internas, se só elas estiverem infectadas |
| Versões do CMS, de plugins e de bibliotecas JavaScript, quando aparecem no HTML | Plugins cujas versões não aparecem no código-fonte |
| SSL, redirecionamento para HTTPS, cabeçalhos de segurança, cookies | Malware exibido só para o Googlebot, usuários de celular ou visitantes vindos da busca |
| SPF, DMARC e outros registros de e-mail | Senhas, o painel de administração, o banco de dados |
Sinais de que seu site foi hackeado
A maioria dos donos descobre uma infecção pelos sintomas, não por um scanner. Investigue com mais atenção se:
- o Google mostra o aviso “este site pode ter sido invadido” abaixo do seu resultado, ou o Chrome exibe uma página de alerta vermelha;
- visitantes no celular ou vindos da busca caem no site de outra pessoa, enquanto um acesso direto pelo seu notebook parece normal;
- uma busca
site:yourdomain.comretorna páginas que você nunca criou — cassino, farmácia, spam de palavras-chave em japonês; - o Search Console tem uma mensagem no relatório Problemas de segurança;
- sua hospedagem suspendeu a conta ou enviou um e-mail sobre arquivos maliciosos;
- surgem administradores desconhecidos no CMS e os e-mails do seu domínio começam a cair no spam.
Muitos desses casos são justamente o tipo de malware que se esconde de acessos diretos. Se você vê sintomas, mas a verificação externa está limpa, confira os arquivos no servidor e o relatório do Search Console, que lista exemplos de URLs infectadas.
O que fazer se a verificação encontrar sinais de infecção
- Faça backup do site e do banco de dados como estão agora — você vai precisar dessa cópia para descobrir como o invasor entrou.
- Troque as senhas da hospedagem, FTP/SSH, do administrador do CMS e do banco de dados. Remova contas de administrador que você não reconhece.
- Encontre a origem. Procure o código do relatório nos arquivos do tema, em
index.php,.htaccesse no banco de dados. Confira os arquivos modificados recentemente e qualquer arquivo PHP na pasta de uploads — eles não deveriam estar lá. - Atualize o CMS, os plugins e os temas, e apague os que você não usa mais. Um componente desatualizado apontado no relatório é a provável porta de entrada.
- Verifique de novo e, se o Google sinalizou o site, solicite uma revisão no relatório Problemas de segurança.
O rótulo “revisar” significa que o sinal é heurístico. Código ofuscado, por exemplo, também aparece em trechos legítimos de analytics. Confirme que não é um script seu antes de apagar qualquer coisa.
Verificação de vulnerabilidades do site: por onde começar
Mesmo sem infecção, o relatório mostra os pontos fracos. Uma ordem sensata:
- Críticos e altos — CMS ou plugin desatualizado com CVEs conhecidos, certificado vencido, falta de HTTPS. Corrija esses primeiro.
- Médios — falta de HSTS e Content-Security-Policy, cookies sem Secure, TLS 1.0/1.1 obsoleto. Normalmente são poucas linhas de configuração do servidor. Para uma análise cabeçalho por cabeçalho, use o Security Headers; para o certificado, o verificador de SSL.
- Baixos e informativos — exposição da versão do servidor, falta de SPF, DMARC ou CAA. Os registros de e-mail impedem que outras pessoas enviem mensagens se passando pelo seu domínio; configure-os com os verificadores de SPF e DMARC.
Se seus e-mails caem no spam, verifique também o IP do servidor em listas de bloqueio de IP — essa reputação é separada da do domínio.
Quando uma verificação externa não basta
Um scanner externo não substitui uma verificação no nível dos arquivos. Se o site já foi hackeado antes, recebe pagamentos ou gera receita de verdade, vale fazer uma verificação mais profunda com acesso ao servidor. Depois que você comprova a propriedade, o PromoPilot Shield adiciona a busca por arquivos de serviço expostos (.git, .env, backups), uma verificação de cloaking como Googlebot, um agente de servidor somente leitura que procura backdoors nos arquivos e monitoramento com alertas sobre novas ameaças.