Ferramenta gratuita: Técnico

Auditoria de site grátis

Uma análise da página que você digitar e de até quatro páginas-chave, com resultados em sete áreas: acessibilidade, adequação à EAA, SEO, velocidade, conversão, segurança e autenticação de e-mail. Comece por aqui para ver onde estão os maiores problemas antes de decidir o que corrigir.

Grátis. Testa até cinco páginas-chave em cerca de um minuto.

O que esta ferramenta verifica

  • Acessibilidade

    Regras do axe-core para a WCAG 2.2 níveis A e AA em todas as páginas testadas, além de um teste de teclado que procura armadilhas de foco, links para pular ao conteúdo e contornos de foco ausentes.

  • Adequação à EAA

    Falhas de acessibilidade automatizadas associadas à EN 301 549, a norma europeia usada para a Lei Europeia de Acessibilidade (European Accessibility Act).

  • SEO

    Títulos, descrições, H1, canonical, noindex, robots.txt, o sitemap XML, viewport, idioma, Open Graph e dados estruturados.

  • Velocidade

    Tempos de carregamento, mudança de layout, tarefas longas, peso da página, imagens pesadas e a parcela de terceiros, medidos nos mesmos carregamentos de página. O teste de celular em 4G lento fica no Teste de velocidade do site.

  • Conversão

    Chamadas para ação, canais de contato, formulários e conteúdo que gera confiança, como depoimentos e links para políticas. Em lojas, também verificações de produto e de carrinho, como o preço, o botão de adicionar ao carrinho e o botão de finalizar a compra.

  • Segurança passiva

    O certificado, o redirecionamento de HTTP para HTTPS, os cabeçalhos de segurança, as flags dos cookies, o conteúdo misto, versões desatualizadas de jQuery e Lodash, o security.txt e a política DMARC que protege contra e-mails falsificados.

  • Autenticação de e-mail

    SPF, DKIM em seletores comuns, DMARC, BIMI e MTA-STS, lidos do DNS público.

  • Tipo de site e tecnologia

    O tipo de site (loja, SaaS ou app, site institucional, blog, veículo de mídia, educação, governo, saúde, hotel ou landing page) e a plataforma dele entre 18 tecnologias, detectados a partir de evidências públicas, com um nível de confiança. Os dois definem quais páginas e verificações são usadas.

O que ela não consegue verificar

  • Aprofundar uma única área. Cada área mostra seus achados mais importantes; o relatório pago correspondente faz mais testes e traz a correção de cada achado.
  • Testar mais de cinco páginas, páginas protegidas por login ou um checkout.
  • Funcionar como um teste de invasão (pentest). As verificações de segurança só leem o que o navegador de um visitante e o DNS público mostram.
  • Encontrar todas as chaves DKIM. Os seletores não podem ser listados, então só são verificados os que serviços de e-mail comuns usam.
  • Responder a perguntas jurídicas, como se a ADA ou a EAA se aplicam a você ou se você as cumpre.
  • Medir resultados como posicionamento, taxas de conversão, vendas ou entrega na caixa de entrada.

Por que isso importa

Os problemas de um site raramente ficam em uma só área. Um carrossel de imagens pode ser a falha de acessibilidade, o arquivo mais pesado da página e o motivo de a chamada para ação ficar abaixo da primeira tela. Um banner de cookies pode prender o foco do teclado e deslocar o layout ao mesmo tempo. Ver todas as áreas em uma única análise mostra onde uma só mudança resolve várias coisas.

Uma verificação ampla também encontra o que não tem dono. Os registros de autenticação de e-mail são configurados uma vez e esquecidos; sem uma política DMARC aplicada, outras pessoas podem enviar e-mails que parecem vir do seu domínio. A expiração do certificado, cabeçalhos de segurança ausentes e um jQuery antigo embutido por um plugin são igualmente silenciosos até algo quebrar.

Como a análise detecta que tipo de site está testando, as verificações se ajustam: uma loja recebe verificações de produto e de carrinho, um site SaaS a página de preços, um blog os artigos. A detecção mostra as evidências e o nível de confiança, para você perceber quando ela errou.

Como interpretar os resultados

Problema
Um problema certo que as verificações confirmaram, como uma regra da WCAG com falha, uma página com noindex ou a falta de registro DMARC.
Verificar
Algo que uma pessoa deve examinar, porque o software não consegue decidir ou porque pode ser intencional, como um item que o axe-core não conseguiu resolver ou uma página que outros sites podem incorporar.
Oportunidade
Uma melhoria, não um erro, como a falta de uma Content Security Policy ou uma chamada para ação abaixo da primeira tela.
Aprovado
A verificação rodou e não encontrou nada errado nas páginas testadas.
Informação
Contexto, e não um veredito, por exemplo cabeçalhos de segurança que o Shopify define para todas as lojas e que você não pode alterar.
Tipo de site e confiança
O que a análise acha que o seu site é, com as evidências por trás disso. Quando as evidências são fracas, o site é tratado como um site genérico e ainda recebe todas as verificações que servem para qualquer site.
Tecnologia
A plataforma ou o framework detectado, como Shopify, WordPress, Webflow ou Next.js. Isso define quais passos de correção específicos da plataforma você vê.

Como corrigir os problemas mais comuns

  • Sem política DMARC

    Publique um registro TXT em _dmarc.yourdomain.com, por exemplo v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, para começar a receber relatórios. Quando os relatórios mostrarem que todos os serviços que enviam e-mails em seu nome passam no SPF ou no DKIM, mude para p=quarantine e depois para p=reject.

  • O HTTP não redireciona para HTTPS

    Ative a opção de forçar HTTPS na sua hospedagem ou CDN, ou adicione um redirecionamento 301 de http:// para https:// em todos os caminhos. Quando o HTTPS funcionar em todo lugar, adicione um cabeçalho Strict-Transport-Security.

  • Cabeçalhos de segurança ausentes

    Comece com X-Content-Type-Options: nosniff, uma Referrer-Policy como strict-origin-when-cross-origin e frame-ancestors em uma Content Security Policy (ou X-Frame-Options) para impedir que outros sites exibam suas páginas em frames. Uma Content Security Policy completa precisa de testes, então comece com Content-Security-Policy-Report-Only.

  • jQuery ou Lodash desatualizado

    Atualize para uma versão atual ou remova a biblioteca se nada a usa. No WordPress, as cópias antigas normalmente vêm de um tema ou plugin que embute a sua própria, então a correção é atualizar ou substituir esse plugin.

  • SPF com consultas demais

    O SPF permite no máximo 10 consultas DNS. Remova as entradas include: de serviços que você não usa mais, evite includes aninhados quando possível e garanta que o domínio publique apenas um registro SPF.

  • Nenhuma chamada para ação clara

    Coloque uma ação principal, como “Agendar uma demonstração”, “Pedir um orçamento” ou “Ver os lançamentos”, na primeira tela da página inicial, como um link ou botão de verdade com texto específico, e repita-a depois das seções principais.

Perguntas sobre esta ferramenta

O que a auditoria de site grátis inclui?

A página que você digitar e até quatro páginas-chave testadas em um navegador real, além de verificações de todo o site no robots.txt, no sitemap, no certificado, nos cabeçalhos de resposta e nos registros DNS. Os resultados vêm em sete áreas, cada uma com seus achados mais importantes.

Quanto tempo leva?

Cerca de um minuto para a maioria dos sites, já que cinco páginas são carregadas e testadas. Se o mesmo endereço foi analisado na última hora, esses resultados podem ser reaproveitados.

É seguro rodar a verificação de segurança em um site no ar?

Sim. Ela só lê o que o navegador de um visitante e o DNS público mostram: o certificado, os cabeçalhos, os cookies, os scripts e os registros. Ela nunca testa senhas, nunca sonda caminhos ocultos e nunca envia tráfego de ataque.

Como o tipo de site é detectado?

A partir de evidências públicas nas suas páginas: dados estruturados, tags generator, scripts e as palavras em links e botões. Cada rótulo tem um nível de confiança e mostra as evidências, então um palpite errado é fácil de perceber.

Por que foram testadas menos de cinco páginas?

As páginas-chave são escolhidas entre os links da página que você digitar. Em um site pequeno, ou quando uma página redireciona para outro site, retorna um erro ou é bloqueada, menos páginas podem ser testadas.

Por qual relatório pago devo começar?

Pelo da área com os problemas que mais importam para você. Cada área da auditoria tem um link para o relatório correspondente, que testa mais páginas ou faz testes extras e traz a correção de cada achado.

Fontes

Ferramentas relacionadas