Saber verificar a segurança do site de forma regular é um dos hábitos mais importantes – e mais esquecidos – de quem gere um site. A maioria dos ataques não explora vulnerabilidades sofisticadas: explora configurações básicas que ficaram esquecidas. É exatamente por isso que o SecureCheck acaba de receber a atualização mais completa desde o lançamento, com seis novas análises e dois widgets novos na página de estatísticas.
Nada disto exige qualquer ação da sua parte: continue a usar o SecureCheck exatamente como até aqui. As novas análises entram automaticamente na próxima vez que verificar a segurança de um site através do formulário público.
Porque é que verificar a segurança do site regularmente faz diferença
Um site que estava seguro há seis meses pode não estar hoje. Certificados expiram, extensões e plugins ficam desatualizados, novas más práticas de configuração são descobertas, e ficheiros que nunca deveriam ter ficado acessíveis publicamente acabam esquecidos depois de um deploy ou de uma migração. Verificar a segurança do seu site com regularidade é a forma mais simples de apanhar este tipo de descuido antes que alguém o faça por si, com más intenções.
É precisamente para tornar essa verificação mais completa que o SecureCheck passa agora a avaliar mais seis aspetos de cada análise.
As seis novas análises de segurança
security.txt. Este ficheiro (definido na norma técnica RFC 9116) diz a quem encontra uma falha de segurança no seu site como o pode contactar de forma responsável, em vez de a divulgar publicamente ou a explorar. O SecureCheck confirma se ele existe em /.well-known/security.txt, se inclui um contacto válido e se não está desatualizado — é uma prática ainda pouco comum em Portugal, mas cada vez mais recomendada.
Segurança de cookies. Sempre que um site guarda informação no navegador do visitante através de um cookie, esse cookie deve vir acompanhado de três marcadores de segurança: Secure (só é enviado por ligações cifradas), HttpOnly (não pode ser lido por scripts, o que dificulta o roubo de sessão) e SameSite (limita o envio do cookie a pedidos vindos de outros sites). Esta nova análise verifica os três em cada cookie definido pelo site.
Cabeçalhos de segurança mais rigorosos. Já avaliávamos a presença de cabeçalhos como o HSTS (que força ligação segura) e a Content Security Policy – CSP (que restringe que scripts podem correr na página). Passamos agora a avaliar também a sua qualidade: um HSTS configurado por poucos dias protege muito menos do que um configurado por seis meses ou mais, e uma CSP que permite unsafe-inline ou fontes genéricas (*) oferece uma proteção muito mais fraca contra ataques de XSS do que uma política restritiva.
Ficheiros sensíveis expostos. Verificamos se ficheiros que nunca deveriam estar acessíveis publicamente – como .env, .git/config ou cópias de segurança do wp-config.php – respondem ao pedido de um visitante qualquer. Estes ficheiros contêm frequentemente credenciais de base de dados ou chaves de API.
Listagem de diretórios. Quando a listagem de diretórios está ativa numa pasta do servidor, qualquer visitante consegue ver todos os ficheiros lá guardados só por visitar essa pasta diretamente. É uma configuração do servidor, não do site em si, e continua a ser comum encontrá-la ativada por predefinição em pastas como /wp-content/uploads/.
IPv6. Verificamos se o domínio já responde também por IPv6, além do tradicional IPv4. Não é uma falha de segurança não ter – é sobretudo um indicador de modernização técnica – mas passa a fazer parte do retrato geral do site.
Dois novos widgets, com privacidade em primeiro lugar
A par das novas análises, a página de estatísticas do SecureCheck ganha dois widgets: Últimos sites analisados, com as cinco análises mais recentes feitas por qualquer visitante, e Top dos últimos 30 dias, com as cinco melhores classificações obtidas no último mês.
Sabemos que qualquer pessoa pode analisar qualquer domínio através do SecureCheck sem precisar de provar que é dona desse site – é assim desde sempre, precisamente para que verificar a segurança de um site seja simples e aberto a todos. Por isso, ao contrário do widget de estatísticas agregadas (que nunca mostrou nem vai mostrar nenhum indício de domínio), estes dois novos widgets mostram o domínio de cada site sempre parcialmente oculto – por exemplo, “exemplo.pt” aparece como “e****.pt”. Dá para perceber que há atividade real a acontecer, sem publicar a identidade completa de sites de terceiros.
Perguntas frequentes
Como posso verificar a segurança do meu site gratuitamente? Basta introduzir o domínio no formulário público do SecureCheck. A análise demora até cerca de 30 segundos e devolve uma classificação de 1 a 5 estrelas, com o detalhe de cada verificação individual.
Com que frequência devo verificar a segurança do site? Não há um número mágico, mas repetir a análise sempre que fizer alterações relevantes ao site (mudança de alojamento, novos certificados, novas integrações de email) é uma boa prática mínima. Muitos utilizadores repetem-na mensalmente.
O SecureCheck guarda o meu site publicamente depois da análise? Só se o widget “Últimos sites analisados” ou “Top dos últimos 30 dias” estiver ativado na página – e mesmo aí, o domínio aparece sempre parcialmente oculto. O widget de estatísticas agregadas nunca mostra nenhum indício de domínio.
Experimente agora
Se ainda não verificou a segurança do seu site recentemente, é uma boa altura para o fazer — mesmo que já tenha tido uma boa classificação antes, estas seis análises são novas e nunca tinham sido avaliadas.
