formexposed
Começar

Cabeçalhos de segurança

Até que ponto seu site protege o que os visitantes digitam?

Uma nota de A+ a F para os cabeçalhos HTTP da sua página inicial: HTTPS e HSTS, Content Security Policy, proteção contra incorporação em quadros, cookies e informações reveladas pelo servidor. Grátis, sem conta, duas solicitações.

Carregamos sua página inicial duas vezes (https e http), nada mais. Domínios que recusaram verificações não são examinados.

O que verificamos

Início: 100 pontos. A ausência de proteção tira pontos; proteções extras acrescentam alguns. A nota acompanha os pontos: A+ a partir de 100 (com HTTPS, HSTS e uma CSP rigorosa), A a partir de 90, B a partir de 75, C a partir de 60, D a partir de 45 e, abaixo disso, F.

  • HTTPS: a página e os dados do formulário trafegam criptografados (-40 se ausente).
  • HSTS: os navegadores nunca voltam ao http sem criptografia, mesmo quando o endereço é digitado (-20 se ausente, -10 abaixo de 6 meses, +5 com preload).
  • Content Security Policy: apenas scripts aprovados são executados — um script injetado não pode ler o formulário (-25 se ausente, -15 se apenas report-only, -10 com unsafe-inline/eval).
  • Incorporação em quadros: nenhuma página externa pode exibir a sua em um quadro e capturar cliques (-20 sem X-Frame-Options ou frame-ancestors).
  • nosniff: o navegador não tenta adivinhar os tipos de arquivo (-5 se ausente).
  • Referrer-Policy: endereços com parâmetros de formulário não vazam para outros sites (-5 se insegura).
  • Cookies: Secure, HttpOnly e SameSite (até -20).
  • Server e X-Powered-By sem versões — invasores procuram exatamente essas informações (-5).

Semelhante ao Mozilla HTTP Observatory e ao securityheaders.com; nossa ponderação prioriza o que protege os dados dos formulários. Uma boa nota não significa um formulário protegido — é para isso que serve a verificação de formulários.