Como usar: Verificador de Headers de Segurança
- Digite a URL do site e clique em Analisar headers. Seguimos os redirecionamentos e analisamos a resposta final.
- Leia a nota e a tabela de cada header — cada um que falhou explica o risco e o valor recomendado.
- Escolha sua plataforma (Nginx, Apache, Netlify, Vercel ou Cloudflare) e copie o trecho gerado para os headers que estão faltando.
- Publique e analise novamente. Teste primeiro um Content-Security-Policy restrito no modo
Report-Onlypara não quebrar seus scripts.
O que são headers de segurança HTTP?
Headers de segurança são cabeçalhos de resposta HTTP que orientam o navegador a ativar proteções nativas: usar sempre HTTPS, recusar renderizar a página dentro de um frame hostil, executar scripts apenas de fontes confiáveis, não adivinhar tipos de arquivo e limitar quais informações vazam no header Referer. Eles não custam nada para adicionar, na maioria dos casos não exigem mudanças no código e bloqueiam classes inteiras de ataques, como clickjacking, downgrades de protocolo e muitas payloads de cross-site scripting (XSS).
Como a nota é calculada
Cada um dos seis headers vale pontos. O total (0–100) corresponde a uma nota: A+ a partir de 90, A a partir de 75, B a partir de 60, C a partir de 45, D a partir de 30, E a partir de 15, caso contrário F. Sites não servidos via HTTPS são limitados a 20 pontos.
| Header | Pontos | Protege contra | Valor recomendado |
|---|---|---|---|
| Strict-Transport-Security | 25 | Downgrade para HTTP, SSL stripping, roubo de cookies em Wi-Fi público | max-age=31536000; includeSubDomains (no mínimo 180 dias para passar) |
| Content-Security-Policy | 25 | XSS, injeção de dados, scripts indesejados de terceiros | Uma política adaptada ao seu site, por exemplo começando com default-src 'self' |
| X-Content-Type-Options | 15 | MIME sniffing que transforma uploads em scripts executáveis | nosniff |
| X-Frame-Options | 15 | Clickjacking por meio de iframes ocultos | SAMEORIGIN, ou CSP frame-ancestors 'self' |
| Referrer-Policy | 10 | Vazamento de URLs completas (com tokens ou termos de busca) para outros sites | strict-origin-when-cross-origin |
| Permissions-Policy | 10 | Conteúdo incorporado abusando de câmera, microfone, geolocalização | camera=(), microphone=(), geolocation=() |
Também sinalizamos headers que vazam informações, como Server: Apache/2.4.41 ou X-Powered-By: PHP/8.1. Números de versão exatos ajudam invasores a encontrar vulnerabilidades conhecidas; remova-os ou encurte-os.
Como adicionar headers nas plataformas populares
Após a análise, a ferramenta gera trechos apenas com os headers que faltam: add_header … always; para Nginx, Header always set para Apache (.htaccess ou vhost), um arquivo _headers para Netlify e Cloudflare Pages, o array headers no vercel.json, e um Cloudflare Worker ou Transform Rule para sites atrás da Cloudflare.
Webflow, Squarespace, Wix e construtores hospedados semelhantes geralmente não permitem definir headers de resposta personalizados nos planos padrão. A solução comum é colocar um reverse proxy na frente do site — por exemplo, passar o domínio pela Cloudflare e adicionar os headers com um Transform Rule ou Worker.
Implante CSP e HSTS com cuidado
Um Content-Security-Policy rígido pode bloquear analytics, widgets de chat ou scripts inline. Implante primeiro como Content-Security-Policy-Report-Only, acompanhe as violações no console do navegador e aperte a política antes de aplicá-la. O HSTS fica em cache nos navegadores por todo o max-age, então comece com um valor curto (por exemplo, um dia) se subdomínios ainda precisarem de HTTP simples. Para o restante da resposta, inspecione cada header com o Verificador de Headers HTTP e valide os certificados com o Verificador de SSL.
Também pesquisado como: headers de segurança, verificador hsts, verificador csp, headers http segurança, x-frame-options, content security policy, scanner de headers, securityheaders.
Ferramentas que combinam com: Verificador de Headers de Segurança
- Gerador e Testador de CORS — Está vendo “has been blocked by CORS policy”?
- Verificador de Redirecionamentos — Acompanhe uma URL salto a salto para ver cada redirecionamento, seu código de status e tempo, e confira se as versões http, https, www e sem www do seu domínio terminam todas no mesmo endereço canônico.
- Verificador de SEO e Auditoria de Site — Cole uma URL para fazer até 70 verificações de SEO na página, além de uma auditoria completa do site: velocidade do Lighthouse, cabeçalhos de segurança e SSL, dados estruturados, links quebrados, robots.txt e rastreadores de IA, noções básicas de acessibilidade, rastreamento e consentimento, SPF/DKIM/DMARC e validade do domínio — tudo reunido em uma única pontuação do site com correções priorizadas.
- Teste de Velocidade de Página — Rode o Google Lighthouse em qualquer URL para mobile ou desktop.
Perguntas frequentes
Os headers de segurança afetam o SEO?
O X-XSS-Protection ainda é necessário?
X-XSS-Protection: 0 é o valor recomendado.Como adiciono headers de segurança em um site Webflow?
Um Content-Security-Policy pode quebrar meu site?
Content-Security-Policy-Report-Only, corrija as violações reportadas e só então mude para o header que aplica a política.