formexposed
Começar

Cabeçalhos de segurança

Até que ponto o seu site protege o que os visitantes escrevem?

Uma classificação de A+ a F para os cabeçalhos HTTP da sua página inicial: HTTPS e HSTS, Content Security Policy, proteção contra framing, cookies e o que o servidor revela. Gratuito, sem conta, dois pedidos.

Carregamos a sua página inicial duas vezes (https e http), nada mais. Os domínios que se opuseram não são verificados.

O que verificamos

Início: 100 pontos. A falta de proteções retira pontos; proteções adicionais acrescentam alguns. A classificação segue os pontos: A+ a partir de 100 (com HTTPS, HSTS e uma CSP rigorosa), A a partir de 90, B a partir de 75, C a partir de 60, D a partir de 45, abaixo disso F.

  • HTTPS: a página e os dados do formulário circulam cifrados (-40 sem).
  • HSTS: os navegadores nunca recuam para http não cifrado, mesmo com um endereço escrito à mão (-20 sem, -10 abaixo de 6 meses, +5 com preload).
  • Content Security Policy: só são executados scripts aprovados - um script injetado não consegue ler o formulário (-25 sem, -15 report-only, -10 com unsafe-inline/eval).
  • Framing: nenhuma página alheia pode apresentar a sua numa frame e captar cliques (-20 sem X-Frame-Options nem frame-ancestors).
  • nosniff: o navegador não adivinha tipos de ficheiro (-5 sem).
  • Referrer-Policy: os endereços com parâmetros de formulário não são revelados a outros sites (-5 se inseguro).
  • Cookies: Secure, HttpOnly e SameSite (até -20).
  • Server e X-Powered-By sem versões - é exatamente isso que os atacantes procuram (-5).

Semelhante ao Mozilla HTTP Observatory e ao securityheaders.com; a nossa ponderação dá prioridade ao que protege os dados dos formulários. Uma boa classificação não significa um formulário protegido - é para isso que serve a verificação de formulários.