Verificador de Cabeçalhos de Segurança HTTP
Verifique os cabeçalhos de segurança de qualquer URL, incluindo CSP, HSTS, X-Frame-Options e Referrer-Policy. Receba uma classificação de A+ a F com o valor recomendado para cada cabeçalho.
O que é uma verificação de cabeçalhos de segurança HTTP?
Uma verificação de cabeçalhos de segurança HTTP consulta um URL público e avalia se os cabeçalhos aplicados pelo navegador estão presentes e corretamente configurados. Cabeçalhos robustos reduzem riscos de XSS, clickjacking, deteção indevida de tipos MIME e transporte inseguro. A Vigilbase atribui uma nota de A a F e explica o que corrigir.
Os agentes podem executar a mesma análise não intrusiva através de POST /api/v1/agent/tools/security-headers/execute.
O que verifica este teste de cabeçalhos de segurança
A verificação faz um pedido ao seu URL, lê os cabeçalhos da resposta e pontua dez deles. Cada um recebe uma pontuação de 0 a 10 face ao valor recomendado e é depois ponderado consoante a proteção que acrescenta.
Content-Security-Policy
Peso: 20/100
Limita as origens a partir das quais é possível carregar scripts, estilos, frames e outros recursos, o que reduz o impacto de cross-site scripting (XSS).
Recomendado: default-src 'self'; frame-ancestors 'none'
Perde pontos com 'unsafe-eval', 'unsafe-inline', um wildcard * isolado, data: nas origens de scripts e a ausência das diretivas default-src ou frame-ancestors.
Strict-Transport-Security
Peso: 20/100
Indica aos browsers que usem apenas HTTPS no domínio, o que impede downgrades de protocolo e a exposição de cookies por HTTP simples.
Recomendado: max-age=31536000; includeSubDomains; preload
Perde pontos com um max-age inferior a um ano (mais ainda se for inferior a um dia) e com a ausência de includeSubDomains ou preload.
X-Frame-Options
Peso: 10/100
Impede que outros sites incorporem as suas páginas em frames, a base dos ataques de clickjacking.
Recomendado: DENY
SAMEORIGIN obtém quase a pontuação máxima. O ALLOW-FROM descontinuado e os valores inválidos pontuam menos.
X-Content-Type-Options
Peso: 10/100
Impede que os browsers adivinhem (sniffing) o tipo de conteúdo de uma resposta e a executem como script.
Recomendado: nosniff
Qualquer valor diferente de nosniff tem uma pontuação baixa.
Referrer-Policy
Peso: 10/100
Controla que parte do URL da página é enviada a outros sites no cabeçalho Referer.
Recomendado: strict-origin-when-cross-origin
no-referrer obtém a pontuação máxima; same-origin e strict-origin pontuam bem. unsafe-url e no-referrer-when-downgrade pontuam menos porque podem expor URLs completos.
Permissions-Policy
Peso: 10/100
Desativa funcionalidades do browser, como a câmara, o microfone e a geolocalização, nas páginas que não precisam delas.
Recomendado: camera=(), microphone=(), geolocation=()
Uma política presente obtém a maior parte da pontuação. Permitir a câmara, o microfone ou a geolocalização a todas as origens retira pontos.
Cross-Origin-Opener-Policy
Peso: 5/100
Separa a sua página das janelas de outras origens que abre ou que a abrem.
Recomendado: same-origin
same-origin-allow-popups obtém uma pontuação parcial; unsafe-none tem uma pontuação baixa.
Cross-Origin-Embedder-Policy
Peso: 5/100
Exige que os recursos de outras origens o autorizem explicitamente antes de a página os carregar. Em conjunto com o COOP, ativa o isolamento entre origens.
Recomendado: require-corp
credentialless obtém uma pontuação parcial; unsafe-none tem uma pontuação baixa.
Cross-Origin-Resource-Policy
Peso: 5/100
Impede que outros sites carreguem os seus recursos, como imagens e scripts, nas respetivas páginas.
Recomendado: same-origin
same-site obtém quase a pontuação máxima; cross-origin obtém metade.
X-XSS-Protection
Peso: 5/100
Controlava o filtro XSS antigo dos browsers mais antigos. Está descontinuado; a Content-Security-Policy substitui-o.
Recomendado: 0
Mantém uma pontuação parcial quer esteja ausente, definido como 0 ou definido como 1; mode=block, pelo que altera o total em 1,5 pontos, no máximo.
Como funciona a classificação de A+ a F
As pontuações ponderadas dos cabeçalhos somam um total em 100. Um cabeçalho em falta recebe zero na sua parte, exceto o X-XSS-Protection. Se o URL devolver um estado de erro ou um desafio de verificação de bots, o resultado é apresentado como impossível de avaliar, sem classificação.
- A+
- 90-100
- A
- 80-89
- B
- 65-79
- C
- 50-64
- D
- 35-49
- F
- 0-34
Uma classificação elevada significa que os cabeçalhos cumprem esta base no momento da análise. Não testa o código da aplicação, a autenticação nem o resto do site, e cada política deve adequar-se às funcionalidades que as suas páginas usam antes de a aplicar. OWASP Secure Headers Project
Perguntas
Perguntas frequentes sobre o verificador de cabeçalhos
O que faz o Verificador de Cabeçalhos de Segurança HTTP da Vigilbase?
Consulta um URL público, analisa os cabeçalhos da resposta segundo as recomendações do OWASP Secure Headers Project e devolve uma nota de A a F, com resultados por cabeçalho e orientações de correção.O resultado descreve as respostas disponíveis no momento da análise. Uma nota de cabeçalhos não testa o comportamento autenticado da aplicação nem prova que o site está livre de vulnerabilidades.Guia prático de proteção de sitesVerificação de segurança do site
Que cabeçalhos são verificados?
A análise abrange Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy e cabeçalhos de isolamento entre origens, como COOP, COEP e CORP.Os cabeçalhos devem adequar-se à aplicação e às funcionalidades do browser que esta utiliza. Valide as políticas propostas de CSP, incorporação em frames e acesso entre origens com percursos representativos dos utilizadores antes de as aplicar.Guia prático de proteção de sitesOperação de WAF gerido e controlo de alterações
Como é calculada a classificação dos cabeçalhos de segurança?
Cada um dos dez cabeçalhos recebe uma pontuação de 0 a 10 face ao valor recomendado e é depois ponderado: Content-Security-Policy e Strict-Transport-Security valem 20 pontos cada, X-Frame-Options, X-Content-Type-Options, Referrer-Policy e Permissions-Policy valem 10 cada, e COOP, COEP, CORP e X-XSS-Protection valem 5 cada. O total em 100 corresponde a A+ (90 ou mais), A (80), B (65), C (50), D (35) ou F.Um cabeçalho em falta recebe zero na sua parte, exceto o X-XSS-Protection, que está descontinuado e mantém uma pontuação parcial. As respostas de erro e os desafios de verificação de bots são apresentados como impossíveis de avaliar, sem classificação.Guia prático de proteção de sitesVerificação de segurança do site
Quais são os valores recomendados para os cabeçalhos de segurança?
Uma base sólida é Strict-Transport-Security: max-age=31536000; includeSubDomains; preload, X-Content-Type-Options: nosniff, X-Frame-Options: DENY ou SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin, uma Permissions-Policy que desative as funcionalidades não utilizadas e uma Content-Security-Policy com default-src e frame-ancestors que evite 'unsafe-inline' e 'unsafe-eval'.Os valores recomendados são um ponto de partida, não uma política para copiar e colar. Só ative o HSTS preload quando todos os subdomínios servirem HTTPS e teste os cabeçalhos de isolamento entre origens com o conteúdo incorporado antes de os aplicar.Guia prático de proteção de sitesOperação de WAF gerido e controlo de alterações
Os agentes podem executar esta análise autonomamente?
Sim. Os agentes podem enviar POST {"target":"https://example.com"} para https://vigilbase.com/api/v1/agent/tools/security-headers/execute sem Turnstile (chave de API opcional em https://one.vigilbase.com/developers). Consulte https://vigilbase.com/pt/developers. A interface no navegador continua disponível para utilização interativa.Use o contrato documentado da API e respeite os limites de pedidos. Este endpoint analisa cabeçalhos públicos; não autoriza testes intrusivos nem altera a configuração do alvo.Execute uma verificação através da API públicaAutenticação da API e limites de pedidos
O Verificador de Cabeçalhos de Segurança é gratuito?
Sim. A ferramenta pública e a API para agentes são gratuitas para análises não intrusivas de cabeçalhos. Não é necessária uma conta Vigilbase.A análise inicial de cabeçalhos não exige uma conta Vigilbase. Os relatórios opcionais e outras ferramentas podem ter requisitos próprios de email ou autorização.Compare as verificações públicas de segurançaRequisitos de acesso e verificação das ferramentas
