Pular para o conteúdo
PRONAFACE
Acesso
Grupo OTB Logo

Desenvolvimento e dados

Verificador de cabeçalhos de segurança

Diagnóstico preliminar de HSTS, CSP, cookies, HTTPS, redirecionamentos e conteúdo misto.

Não armazenamos os valores que você consulta. Resultados são informativos e devem ser confirmados nas fontes oficiais quando necessário.

Informe o site

Aceita domínio ou URL completa. Assumimos https:// se não for informado.

Não são aceitos endereços privados (localhost, IPs internos). Fazemos apenas requisições GET públicas.

Sem análise ainda

Digite um endereço acima e clique em Analisar.

Este relatório é um diagnóstico preliminar

A análise avalia apenas o que é visível pela raiz do site (headers e HTML). Não substitui pentest, revisão de código, análise de dependências, teste de autenticação, revisão de RLS ou auditoria formal. Se você precisa de segurança séria para operações críticas, fale com a Appmart para uma revisão profissional.

Isto substitui um pentest?

Não. É um diagnóstico preliminar de cabeçalhos HTTP visíveis externamente. Não testa vulnerabilidades de aplicação (SQLi, XSS explorável, IDOR, lógica de negócio, autenticação), não valida a cadeia de certificado TLS em profundidade e não emite certificação. Para segurança séria, contrate uma auditoria.

Quais cabeçalhos são analisados?

HSTS (Strict-Transport-Security), Content-Security-Policy, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, X-Frame-Options / frame-ancestors, Cross-Origin-Opener-Policy, cookies (Secure/HttpOnly/SameSite), HTTPS, redirecionamentos, exposição de tecnologias e amostra de conteúdo misto no HTML.

Como funciona a detecção de conteúdo misto?

Buscamos referências http:// em atributos src, href, action, data-src e poster do HTML da raiz, em uma amostra de até 30 URLs. É apenas indicativo: recursos carregados por JavaScript ou em outras páginas não são varridos.

Por que meu site foi bloqueado?

Recusamos IPs privados, loopback, hosts .localhost e IPv6 literais para evitar SSRF. Informe um domínio público.

Os resultados ficam salvos?

Mantemos apenas cache técnico por até 6 horas no servidor, para responder mais rápido a novas consultas do mesmo endereço. Não vinculamos o resultado à sua conta e não publicamos nada.

Fonte: MDN: HTTP headers · OWASP: Secure Headers Project · web.dev: Security

Ferramentas relacionadas

Sua empresa precisa de uma ferramenta, aplicativo ou sistema personalizado?

O Grupo OTB desenvolve sites, apps, plataformas e automações sob medida, do MVP à operação em escala.

Falar com um especialista

O que é essa ferramenta

Verificador rápido de segurança de sites focado em pontos de exposição visíveis externamente: certificado SSL, redirect HTTPS, headers de proteção, cookies com flags seguras e políticas de e-mail. Complementa o diagnóstico completo com foco em ações imediatas e priorizadas.

Como usar em poucos passos

  1. 1Cole a URL do site (com https://).
  2. 2Execute a análise: cada check retorna passou/atenção/falhou com explicação prática.
  3. 3Aplique primeiro as correções marcadas como críticas (SSL expirado, sem HTTPS, headers ausentes).
  4. 4Reexecute para validar as correções.
  5. 5Compartilhe o relatório com o time responsável pela infraestrutura.

Para quem serve

Donos de site e e-commerce

Checagem mensal de rotina para garantir que atualizações não quebraram o SSL nem removeram headers.

Freelancers e agências web

Comprovar qualidade técnica antes de entregar site ao cliente.

Compradores em due diligence

Avaliar postura de segurança de um domínio antes de aquisição ou parceria.

Perguntas frequentes

Diferença entre esta ferramenta e Segurança da Plataforma?
Ambas usam checks similares. Segurança do Site é o resumo executivo com priorização; Segurança da Plataforma detalha cada categoria (DNS, e-mail, cookies) para uso técnico.
Cadeado no navegador significa site seguro?
Não. Cadeado indica apenas que o tráfego é criptografado. O site ainda pode ter XSS, falta de HSTS, cookies vulneráveis e políticas de e-mail frágeis.
Preciso renovar o SSL sozinho?
Se usa Cloudflare, Vercel, Netlify ou hospedagem com Let's Encrypt, a renovação é automática. Certificados pagos manuais exigem renovação anual/bienal manual.
Cookies precisam de Secure e HttpOnly?
Sim. Secure evita que cookies vazem em conexões HTTP. HttpOnly bloqueia acesso via JavaScript, mitigando roubo por XSS. SameSite reduz CSRF.

Limitações honestas

  • Análise externa apenas: não avalia código, banco de dados ou lógica de aplicação.
  • Não testa força de senha, MFA nem fluxos de autenticação.

Categoria: Desenvolvimento e dados · Conteúdo revisado pelo time do Grupo OTB. Ferramenta gratuita, sem cadastro obrigatório.