Os cabeçalhos HTTP de segurança dizem ao navegador como tratar conteúdo, ligações e recursos. Um ponto de partida é rever Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, a proteção contra enquadramento e Referrer-Policy. A configuração correta depende do funcionamento do teu site.
Começa pela resposta que o site envia
Abre as ferramentas de desenvolvimento do navegador, escolhe o separador de rede e recarrega a página. Seleciona o documento principal e consulta os cabeçalhos da resposta. Confirma o endereço final: redirecionamentos podem levar-te a outro domínio ou a uma página diferente.
Content-Security-Policy: define de onde pode vir conteúdo
A CSP permite restringir origens de scripts, estilos, imagens e outros recursos. Pode reduzir o impacto de determinadas injeções de conteúdo, mas a sua presença não prova que o site está protegido contra XSS.
Levanta primeiro as origens de que o site precisa. Testa alterações num ambiente de desenvolvimento; quando adequado, começa por uma política em modo Report-Only e revê as violações antes de a aplicar. Copiar uma política genérica pode impedir pagamentos, imagens ou funcionalidades de carregar.
Strict-Transport-Security: mantém as ligações em HTTPS
HSTS indica ao navegador que deve usar HTTPS durante o período definido por max-age. Só deve ser aplicado depois de confirmares que o HTTPS funciona corretamente. As opções includeSubDomains e preload exigem avaliar também os subdomínios e os requisitos de inclusão.
X-Content-Type-Options: evita interpretações inesperadas
O valor nosniff instrui o navegador a respeitar os tipos de conteúdo em situações relevantes, em vez de tentar adivinhá-los. Os ficheiros devem continuar a ser enviados com um Content-Type correto.
Proteção contra enquadramento e Referrer-Policy
A diretiva CSP frame-ancestors controla quem pode colocar a tua página num frame. O cabeçalho X-Frame-Options também oferece proteção, com menos flexibilidade. A escolha deve respeitar integrações legítimas que precisem de incorporar o site.
Referrer-Policy controla a informação do endereço de origem que acompanha pedidos. Escolhe uma política explícita adequada à privacidade e às integrações do teu site; não coloques dados sensíveis em URLs.
O que o Vigia observa
O Vigia verifica a presença e alguns valores destes cabeçalhos na resposta HTTPS da página inicial. Na CSP, sinaliza padrões permissivos, como certas utilizações de unsafe-inline, unsafe-eval ou origens demasiado amplas. A observação deve ser revista no contexto da política completa.
Uma análise não cobre todas as páginas nem executa ataques para validar vulnerabilidades. Depois de uma alteração, verifica as funcionalidades do site e faz uma nova análise.