Verificador de Headers HTTP com Nota de Segurança

Por que analisar seus headers HTTP de segurança?

Os headers HTTP de segurança formam a primeira linha de defesa do seu site na camada do navegador. Sem CSP, sem HSTS, sem X-Frame-Options, você deixa aos atacantes ângulos de ataque que os padrões modernos sabem fechar. Um teste de segurança de site regular permite detectar esses esquecimentos antes que se transformem em incidente.

Nosso analisador recupera os headers HTTP retornados pelo seu servidor, confronta-os com as recomendações OWASP e Mozilla, e depois calcula uma pontuação ponderada acompanhada de uma nota de A a F. Em 30 segundos você obtém uma visão clara das brechas a corrigir.

Três casos de uso principais:

• Auditoria de entrada em produção: validar a configuração dos security headers antes da abertura pública
• Acompanhamento de conformidade: preparar uma auditoria PCI DSS, ISO 27001 ou SOC 2 que exige esses controles
• Resposta a incidente: verificar que nenhum header HTTP crítico foi removido após uma atualização do servidor

Como usar o analisador em 3 etapas

Etapa 1: inserir a URL a ser testada

Informe a URL completa a ser analisada, por exemplo https://captaindns.com. A ferramenta aceita URL públicas acessíveis tanto em HTTPS como em HTTP, e segue o primeiro redirecionamento se necessário.

Etapa 2: iniciar a análise dos headers

Clique em Analisar headers. O servidor realiza uma requisição GET para a URL, captura todos os headers HTTP retornados, e depois aplica as regras de scoring sobre os 10 security headers monitorados.

Etapa 3: ler a nota e as recomendações

Você obtém:

• A nota de A a F e a pontuação sobre 100
• O detalhe header por header com status presente/ausente
• Os valores recomendados para cada header ausente
• Os tooltips pedagógicos que explicam o papel de cada header

O que são os headers HTTP de segurança?

Um header HTTP é uma linha de metadados enviada pelo servidor além do conteúdo da página. Os security headers são uma família específica de headers que pilotam o comportamento do navegador para bloquear ou limitar os ataques no lado cliente.

Quando seu navegador carrega https://captaindns.com, o servidor retorna primeiro seus headers HTTP antes do HTML. Esses headers indicam por exemplo: 'Forçar HTTPS por um ano' (HSTS), 'Executar somente os scripts do mesmo domínio' (CSP), ou 'Recusar ser exibido em um iframe' (X-Frame-Options).

Exemplo de headers HTTP retornados por um site seguro:

HTTP/2 200
strict-transport-security: max-age=31536000; includeSubDomains; preload
content-security-policy: default-src 'self'; script-src 'self'
x-content-type-options: nosniff
x-frame-options: DENY
referrer-policy: strict-origin-when-cross-origin
permissions-policy: geolocation=(), microphone=()

Sem esses security headers, o navegador aplica comportamentos padrão muito mais permissivos, herdados dos primórdios da web.

Os 10 headers analisados e seu papel

A ferramenta avalia 10 headers HTTP, cada um com um peso refletindo seu impacto na postura de segurança.

Total máximo: 11,5 pontos. A pontuação é em seguida convertida para 100 para produzir a nota final.

Como sua nota de A a F é calculada?

O cálculo aplica uma lógica simples e reproduzível.

Etapa 1: pontuação bruta Cada header presente e corretamente configurado rende seu peso completo. Um header presente mas mal configurado (ex. HSTS com max-age curto demais) rende um peso reduzido. O total bruto máximo é de 11,5 pontos.

Etapa 2: conversão sobre 100 A pontuação bruta é convertida para 100 por regra de três: score = (bruto / 11,5) × 100.

Etapa 3: atribuição da nota

Para reter: HSTS e CSP pesam juntos 4 pontos sobre 11,5, ou seja mais de um terço da pontuação. Sua ausência faz cair mecanicamente a nota em pelo menos dois degraus.

Casos de uso concretos

Incidente 1: site com nota F após reformulação

Sintoma: após migração para um novo framework, o site obtém F enquanto tinha B antes da reformulação.

Diagnóstico: o analisador revela a ausência de CSP, HSTS e X-Frame-Options. Os headers eram adicionados pelo antigo servidor Nginx, removidos durante a passagem para uma hospedagem gerenciada que não os inclui por padrão.

Ação: adicionar os security headers na configuração do novo framework (next.config.js, middleware Express, etc.) e em seguida reiniciar a análise para confirmar o retorno à nota B ou A.

Incidente 2: auditoria de conformidade bloqueada

Sintoma: o auditor relata a ausência de security headers como finding maior, bloqueando a certificação PCI DSS.

Diagnóstico: o teste de segurança de site confirma HSTS ausente, CSP ausente, Referrer-Policy não definido. O servidor Apache serve a conf padrão sem adições.

Ação: configurar as diretivas Header set no vhost Apache, fazer deploy em staging, iniciar o analisador para verificar a nota, depois enviar para produção. Refazer o teste para fornecer o relatório conforme ao auditor.

Incidente 3: clickjacking detectado em bug bounty

Sintoma: um pesquisador de segurança relata via bug bounty que pode emoldurar o painel cliente em um iframe malicioso.

Diagnóstico: o analisador mostra X-Frame-Options ausente e CSP sem diretiva frame-ancestors. O navegador autoriza, portanto, o embedding por padrão.

Ação: adicionar X-Frame-Options: DENY e frame-ancestors 'none' no CSP. Reiniciar a análise para confirmar o fechamento da falha e fechar o ticket de bug bounty.

FAQ - Perguntas frequentes

P: O que é um analisador de headers HTTP?

R: Um analisador de headers HTTP é uma ferramenta que inspeciona os headers retornados por um servidor web durante uma requisição. Ele verifica a presença e a configuração dos security headers como CSP, HSTS ou X-Frame-Options. Nosso analisador recupera esses headers HTTP, avalia sua conformidade com as boas práticas OWASP e atribui uma nota de A a F. É a base de um teste de segurança de site completo e rápido.

P: Quais security headers são indispensáveis em 2026?

R: Os headers críticos em 2026 são Content-Security-Policy (CSP) para bloquear scripts não autorizados, Strict-Transport-Security (HSTS) para forçar HTTPS, X-Content-Type-Options para impedir o MIME sniffing, X-Frame-Options ou frame-ancestors CSP contra o clickjacking, e Referrer-Policy para limitar o vazamento de URL. Permissions-Policy e Cross-Origin-Opener-Policy completam uma postura moderna. Sem esses headers HTTP, seu site continua exposto a ataques conhecidos.

P: Qual é a diferença entre CSP e HSTS?

R: CSP (Content-Security-Policy) controla as fontes autorizadas para carregar scripts, estilos, imagens ou iframes. Protege contra o XSS e a injeção de conteúdo. HSTS (Strict-Transport-Security) força o navegador a acessar o site somente via HTTPS, impedindo os ataques de downgrade. CSP age no nível do conteúdo da página, HSTS no nível do transporte. Ambos os headers HTTP são complementares e indispensáveis para uma nota de segurança elevada.

P: Como adicionar security headers ao meu site?

R: Depende do seu stack:

• Nginx: diretivas add_header no bloco server
• Apache: Header set em .htaccess ou na conf vhost
• Cloudflare: Transform Rules ou Workers
• Next.js: headers() em next.config.js
• Express: middleware helmet
• Laravel: middleware dedicado

Após o deploy, reinicie a análise para confirmar que os headers HTTP são retornados corretamente.

P: Security headers ausentes são uma vulnerabilidade?

R: Headers ausentes não são uma vulnerabilidade direta, mas removem camadas de defesa. Sem CSP, uma falha XSS torna-se totalmente explorável. Sem HSTS, o usuário continua vulnerável ao sslstrip em rede hostil. Sem X-Frame-Options, seu site pode ser emoldurado para clickjacking. Os auditores PCI DSS, ISO 27001 e SOC 2 consideram esses headers HTTP como controles de segurança esperados.

P: Esta ferramenta de teste de segurança de site é gratuita?

R: Sim, nosso analisador de headers HTTP é totalmente gratuito, sem cadastro nem limite de uso. Inicie quantos testes de segurança de site precisar, em qualquer URL pública. Os resultados incluem a nota de A a F, o detalhe de cada header analisado e as recomendações de configuração. Nenhum dado é mantido além do tempo necessário ao cálculo da pontuação.

Ferramentas complementares

Recursos úteis

• MDN - HTTP security headers (referência completa Mozilla)
• OWASP Secure Headers Project (recomendações OWASP)
• RFC 6797 - HTTP Strict Transport Security (especificação HSTS)
• MDN - X-Frame-Options (documentação X-Frame-Options)
• Content-Security-Policy Reference (referência CSP com exemplos)