Relatório de correção

Relatório de Segurança do Site

Verificamos a configuração de segurança que qualquer pessoa pode ver de fora do seu site: certificado, cabeçalhos, cookies, scripts e DNS público. A verificação é passiva: nada é atacado, nenhuma senha é testada e nenhum caminho oculto é sondado.

  • Certificado e redirecionamento para HTTPS
  • Cabeçalhos, cookies, conteúdo misto
  • Bibliotecas JavaScript desatualizadas

O que verificamos

  • HTTPS e certificado

    Páginas servidas sem HTTPS, se o HTTP redireciona para HTTPS e se o certificado é confiável, está dentro da validade e usa uma versão moderna do TLS.

  • Cabeçalhos de segurança

    HSTS, proteção contra framing, X-Content-Type-Options, Referrer-Policy e Content Security Policy. Na Shopify, eles são gerenciados pela plataforma e mostrados como referência.

  • Cookies

    Cookies sem a flag Secure e cookies que parecem de sessão e podem ser lidos por scripts.

  • Conteúdo misto e formulários

    Recursos HTTP inseguros em páginas HTTPS e formulários que enviam dados por HTTP sem criptografia.

  • JavaScript desatualizado

    Versões de jQuery, jQuery UI e Lodash com vulnerabilidades publicamente conhecidas.

  • Exposição de informações e contato

    Versões do software do servidor nos cabeçalhos e se você publica um contato em security.txt.

  • Spoofing de e-mail

    Se a sua política DMARC impede que outras pessoas enviem e-mails que parecem vir de você.

O que você recebe

  • Cada risco com o que ele significa para o seu site
  • O que você controla e o que a sua plataforma gerencia
  • Correções para o seu servidor, CDN ou plataforma
  • Um prompt de IA pronto para cada achado
  • Um PDF para compartilhar com seu desenvolvedor

Como o relatório é feito

  1. 1

    Suas páginas são carregadas em um navegador, e os cabeçalhos, cookies e scripts delas são lidos.

  2. 2

    Seu certificado, o redirecionamento HTTP e o security.txt são verificados de fora.

  3. 3

    O registro DMARC do seu domínio é lido no DNS público.

Achados do relatório de exemplo

Resultado real para a Harbor & Pine, uma loja fictícia que criamos com problemas comuns.

Abrir o relatório de exemplo completo
  • Problem

    Insecure (HTTP) resources on HTTPS pages

    {n} page(s) load files over plain HTTP.{"n":1}

    Fix: Change the listed addresses to {https} (or upload the files to your store), in the theme or the app that adds them.{"https":"https://"}

  • Problem

    Outdated JavaScript libraries with known vulnerabilities

    jQuery 3.4.1

    Fix: Find which theme file or app loads the library (search the theme code for its file name).

  • Problem

    Cookies without the {flag} flag{"flag":"Secure"}

    hp_session

    Fix: Set the {flag} attribute on these cookies in the app or code that creates them.{"flag":"Secure"}

O que ele não cobre

  • Teste de invasão (pentest), varredura de vulnerabilidades ou auditoria de segurança completa
  • Segurança do admin, do login e do checkout
  • Configuração do seu servidor, hospedagem ou aplicação

Perguntas sobre este relatório

Isto é um teste de invasão (pentest)?

Não. Ele só lê o que o navegador de qualquer visitante consegue ver. Nunca atacamos seu site, testamos senhas nem sondamos caminhos ocultos.

Por que as lojas Shopify mostram alguns itens como informativos?

A própria Shopify define os cabeçalhos da vitrine e alguns cookies, e os lojistas não podem alterá-los. O relatório os mostra como referência e se concentra no que você controla.

Quais bibliotecas são verificadas?

jQuery, jQuery UI e Lodash, em comparação com versões que têm vulnerabilidades publicamente conhecidas (listadas como CVE).

Vocês guardam alguma coisa do meu site?

Apenas os resultados das verificações e as capturas de tela usadas no seu relatório. Veja os prazos de guarda na política de privacidade.

Guias relacionados

Outros relatórios

Analise seu site hoje

Encontre. Corrija. Verifique.

Que tipo de site é este?

Sua resposta escolhe as verificações certas, como a jornada de compra em lojas online. Mesmo assim verificamos os sinais do próprio site e mostramos os dois.

Que tipo de site é este?

Análise gratuita. Sem cartão de crédito.