Um relatório de configuração é um retrato da resposta observada num determinado momento. Usa-o para identificar ajustes, compreender a evidência e decidir o que rever primeiro. O índice resume apenas as verificações incluídas; não mede a segurança total do site.
Começa pelo âmbito da análise
Confirma o domínio, a data e a página analisada. O Vigia observa a resposta HTTPS da página inicial e uma amostra do HTML, com um limite de leitura de 256 KiB. Não percorre todas as páginas nem analisa zonas autenticadas.
Um erro de ligação ou uma resposta que não possa ser analisada não é transformado numa análise bem-sucedida.
Lê a evidência antes de alterar configurações
Cada observação reúne o que foi encontrado, a razão para rever e uma orientação. “Cabeçalho ausente” descreve uma configuração observável. Não é uma confirmação de que ocorreu um ataque ou de que existe uma vulnerabilidade explorável.
Uma referência HTTP no HTML pode ser um simples link de navegação. Confirma no navegador se é um recurso ativo e se é carregado, bloqueado ou atualizado para HTTPS.
Como funciona o índice
O índice começa em 100. Cada observação de severidade média desconta 12 pontos; cada observação baixa desconta 4. Observações informativas não descontam pontos. O mínimo é zero.
No relatório fictício, falta CSP e um cookie não tem Secure. O índice é 84/100, sem significar “84% seguro”.
Os pesos são uma regra de resumo do Vigia. Não são uma classificação CVSS, uma certificação ou uma previsão da probabilidade de ataque. Mesmo um resultado de 100 não cobre o que a ferramenta não testa.
“Revisto” não significa “corrigido”
Marcar uma observação como revista regista uma decisão de acompanhamento. Não altera o servidor nem o resultado observado. Depois de corrigires a configuração, executa uma nova análise para confirmar a resposta atual.
Compara análises equivalentes
Usa o histórico para identificar observações novas, persistentes ou que deixaram de ser observadas. Confirma que estás a analisar o mesmo domínio e considera mudanças na aplicação, no alojamento e na resposta recebida.
Quando precisas de uma avaliação mais ampla
Login, permissões, APIs, lógica de negócio, XSS e SQL injection estão fora do âmbito desta versão do Vigia. Para estes riscos, procura uma avaliação especializada com autorização e âmbito definidos. O relatório de configuração pode complementar esse trabalho.