Cabeçalhos de Segurança: guia completo de boas práticas
Os cabeçalhos de segurança são instruções que o seu servidor envia ao navegador do visitante, dizendo-lhe como se deve comportar perante o seu site – por exemplo, que tipos de conteúdo pode carregar, ou se pode ser incorporado noutras páginas. Configurados corretamente, reduzem significativamente o risco de vários ataques comuns. Nesta página reunimos os cabeçalhos essenciais; para cada um, temos um guia completo e passo a passo dedicado.
O que são os cabeçalhos de segurança e porque importam
Sempre que um navegador pede uma página ao seu servidor, o servidor responde não só com o conteúdo da página, mas também com um conjunto de cabeçalhos HTTP – metadados que instruem o navegador sobre como processar essa resposta. Alguns destes cabeçalhos existem especificamente para reforçar a segurança, protegendo os visitantes contra ataques como:
- Cross-Site Scripting (XSS): injeção de código malicioso que é executado no navegador dos visitantes.
- Clickjacking: técnica em que o seu site é incorporado de forma invisível noutra página para enganar utilizadores a clicarem em elementos sem perceberem.
- MIME sniffing: quando o navegador tenta “adivinhar” o tipo de um ficheiro, o que pode ser explorado para executar código não intencionado.
- Fuga de informação: partilha involuntária de dados sobre a navegação dos utilizadores com terceiros.
A ausência destes cabeçalhos não significa necessariamente que o site já foi comprometido, mas deixa-o sem uma camada de proteção importante contra ataques comuns.
Cabeçalhos de segurança essenciais
Explore cada cabeçalho em detalhe, com explicação técnica e passo a passo de configuração:
Content-Security-Policy (CSP)
Controla que fontes de conteúdo (scripts, estilos, imagens, etc.) o navegador tem permissão para carregar, reduzindo drasticamente o risco de ataques de Cross-Site Scripting.
X-Frame-Options
Impede que o seu site seja incorporado dentro de um <iframe> noutras páginas, protegendo contra ataques de clickjacking.
X-Content-Type-Options
Impede que o navegador tente adivinhar o tipo de um ficheiro (MIME sniffing), forçando-o a respeitar o tipo declarado pelo servidor.
Referrer-Policy
Controla que informação sobre a página de origem é partilhada quando um visitante navega para fora do seu site, protegendo a privacidade dos utilizadores.
Permissions-Policy
Controla que funcionalidades do navegador (câmara, microfone, geolocalização, etc.) o seu site e conteúdos de terceiros incorporados podem utilizar.
Strict-Transport-Security (HSTS)
Força o navegador a aceder sempre ao seu site via HTTPS, mesmo que o visitante introduza o endereço sem “https://”. Já abordámos este cabeçalho em detalhe na página de redirecionamento HTTP para HTTPS.
Configurar corretamente todos estes cabeçalhos exige testar cuidadosamente cada alteração – uma política de CSP demasiado restritiva, por exemplo, pode partir funcionalidades do seu próprio site sem aviso. A maioria dos fornecedores de alojamento genéricos não configura nenhum destes cabeçalhos por defeito. Na WebDig Host, configuramos e testamos os cabeçalhos de segurança do seu site por si, com acompanhamento humano sempre disponível.
Conhecer os serviços de alojamento e gestão de domínios da WebDig Host
Como verificar os cabeçalhos de segurança do seu site
Pode confirmar quais os cabeçalhos de segurança atualmente enviados pelo seu servidor através das ferramentas de programador do navegador (separador “Rede” ou “Network”), ou de forma mais simples e completa com o Secure Check, que analisa gratuitamente os cabeçalhos de segurança do seu domínio e indica claramente o que falta configurar.
Analisar o meu domínio gratuitamente com o Secure Check
Perguntas frequentes sobre cabeçalhos de segurança
Preciso de configurar todos estes cabeçalhos?
Não necessariamente todos, mas quanto mais cabeçalhos relevantes tiver corretamente configurados, mais camadas de proteção o seu site terá. O CSP e o X-Frame-Options costumam ser os que oferecem maior proteção imediata contra os ataques mais comuns.
Configurar cabeçalhos de segurança pode afetar o funcionamento do site?
Sim, especialmente o CSP, que pode bloquear scripts ou recursos legítimos se não for configurado com cuidado. Recomenda-se testar cada alteração num ambiente de testes antes de aplicar em produção, e monitorizar a consola do navegador para identificar bloqueios inesperados.
Onde configuro estes cabeçalhos?
Normalmente na configuração do servidor web (ex: ficheiro .htaccess em Apache, ou o ficheiro de configuração do Nginx), ou através de definições disponibilizadas pelo seu CMS, CDN ou painel de alojamento.
Verifique agora os cabeçalhos de segurança do seu site
Não deixe o seu site sem estas camadas de proteção adicionais. Use o Secure Check e receba, gratuitamente, um relatório claro sobre os cabeçalhos de segurança em falta.