Cabeçalhos analisados, não apenas listados
Profundidade nas diretivas CSP, verificação em tempo real da pré-carga HSTS e referência CWE/OWASP para cada achado - a verificação mais aprofundada que Scanverra executa.
Verificar meus cabeçalhos gratuitamenteOs cabeçalhos essenciais, num relance
| Cabeçalho | O que faz | CWE |
|---|---|---|
| Content-Security-Policy | Restringe quais scripts, estilos e recursos podem ser carregados | CWE-693 |
| Strict-Transport-Security | Força o HTTPS, bloqueando ataques de downgrade de protocolo | CWE-319 |
| X-Frame-Options | Impede que o seu site seja incorporado em frames para clickjacking | CWE-1021 |
| X-Content-Type-Options | Impede que os navegadores façam MIME-sniffing das respostas | - |
| Referrer-Policy | Controla o que é enviado no cabeçalho Referer para outros sites | - |
| Permissions-Policy | Restringe o acesso a funcionalidades do navegador como câmara e geolocalização | - |
O que "analisado" realmente significa aqui
Análise das diretivas CSP
Não apenas "existe um CSP" - verifica individualmente base-uri, form-action, object-src e frame-ancestors, e sinaliza fontes com wildcard demasiado amplas.
Verificação em tempo real da pré-carga HSTS
Verifica suas configurações de HSTS max-age e includeSubDomains e depois confere em tempo real na lista de pré-carregamento HSTS dos navegadores se o seu domínio está de fato pré-carregado, e não apenas configurado para solicitar isso.
Deteção de cabeçalhos obsoletos
Sinaliza cabeçalhos como X-XSS-Protection que os navegadores já consideram obsoletos e deixaram de respeitar, para que não esteja a confiar numa proteção que já não existe.
Como funciona
Uma verificação, todos os cabeçalhos, análise real.
Cole o seu URL
Uma verificação externa dos cabeçalhos de resposta reais do seu site - os mesmos cabeçalhos que o navegador de qualquer visitante recebe.
Cada cabeçalho analisado
Presença, profundidade da configuração e fragilidades conhecidas - não uma simples lista de presente/ausente.
Correções com valores exatos de cabeçalho
Cada achado vem com um identificador CWE, uma categoria do OWASP Top 10 e um valor de cabeçalho recomendado específico a definir.
Perguntas frequentes
Listar quais cabeçalhos estão presentes é fácil. Analisar se uma Content-Security-Policy é realmente restritiva, se o seu cabeçalho HSTS está genuinamente pré-carregado (não apenas configurado) e mapear cada lacuna para um CWE e categoria OWASP específicos é a parte que a maioria dos verificadores de cabeçalhos ignora.
CWE (Common Weakness Enumeration) é um identificador padrão para uma classe de fragilidade de segurança; OWASP Top 10 é uma lista amplamente referenciada dos riscos de segurança mais críticos em aplicações web. Mapear os achados para ambos facilita a comunicação com uma equipa de segurança ou um auditor que já trabalha nesse vocabulário.
Sim - ele verifica em tempo real na lista de pré-carregamento HSTS dos navegadores, então você recebe uma resposta real, e não apenas se o seu cabeçalho contém a palavra "preload".
Pode acontecer, se implementado sem cuidado - um CSP demasiado rigoroso pode bloquear silenciosamente os seus próprios scripts, análises ou fornecedor de pagamentos. Consulte o guia sobre CSP ligado abaixo para uma estratégia de implementação segura, usando o modo report-only antes de aplicar em produção.
Auditorias relacionadas
Auditoria de site
Execute uma auditoria instantânea e gratuita de desempenho, SEO, acessibilidade e boas práticas.
Auditoria SEO
Verifique rastreabilidade, metadados, dados estruturados e capacidade de descoberta por agentes de IA.
Auditoria de desempenho
Uma auditoria completa de desempenho em laboratório no desktop e no celular, com correções adaptadas ao seu framework.
Auditoria de acessibilidade
Veja exatamente quais critérios de sucesso WCAG 2.1/2.2 seu site não atende, e por quê.
Auditoria de segurança
Transforme uma verificação de cabeçalhos/vulnerabilidades em evidências de controles SOC 2 e LGPD/GDPR.
Auditoria de velocidade do site
A velocidade de carregamento do seu site, em linguagem simples - um número, sem jargão.
Auditoria de Core Web Vitals
Verifique LCP, CLS e INP em relação aos limites do Google, em laboratório e em campo.
Verificador de links quebrados
Rastreia os links de uma página e encontra os que estão quebrados antes que seus usuários o façam.
Verificador de Open Graph
Verifica se sua página tem as tags og:title, og:description e og:image que as plataformas sociais precisam.
Verificador de marcação Schema
Verifica se sua página envia dados estruturados JSON-LD que motores de busca e agentes de IA conseguem ler.
Verificador de sitemap
Verifica se seu sitemap.xml está acessível, válido e livre de erros comuns.
Verificador de redirecionamentos
Rastreia a cadeia de redirecionamento de uma URL e detecta loops, saltos excessivos e downgrades de HTTPS para HTTP.
Verificador de SSL
Teste seu certificado SSL em segundos quanto a validade, nome do host, cadeia de confiança, versão do TLS, força da chave e HSTS.
Verificador de contraste
Calcule a razão de contraste WCAG entre duas cores, veja os resultados AA e AAA e receba uma cor acessível sugerida.
Verificador de tecnologia
Descubra com qual CMS, framework, plataforma de e-commerce e bibliotecas um site foi feito.
Validador de robots.txt
Valide sintaxe, linhas Sitemap e limites de tamanho, e teste se o Googlebot ou outro rastreador pode acessar uma URL.
Verificador de canonical
Encontre tags canonical ausentes, duplicadas, relativas ou conflitantes, e verifique se a URL canônica carrega.
Verificador de hreflang
Valida códigos de idioma, x-default e autorreferências, e confirma que cada página alternativa aponta de volta.
Verificador de meta tags
Confira title, meta description, títulos H1, robots, viewport e tags Open Graph de qualquer página.
Verificador de status HTTP
Confira até 20 URLs de uma vez para 200, 301, 404, 500 e cadeias de redirecionamento.
Avaliador de CSP
Verifique uma Content Security Policy quanto a unsafe-inline, unsafe-eval, curingas e object-src ou base-uri ausentes, por URL ou colando a política.
Verificador de conteúdo misto
Encontra scripts, folhas de estilo, iframes e imagens em http:// em páginas HTTPS que os navegadores bloqueiam ou sinalizam.
Verificador de texto alt
Encontra imagens com alt ausente, vazio, com nome de arquivo ou longo demais, para acessibilidade e SEO de imagens.
Verificador de chaves de API
Analisa o HTML e JavaScript públicos de um site em busca de chaves de API, tokens e segredos expostos.
Scanner de segurança MCP
Encontra servidores MCP sem versão fixa, tokens vazados e configurações de agentes arriscadas.
Segurança em vibe coding
Verifica código escrito por IA em busca de segredos, injeções e dependências arriscadas.
Verificador de conformidade com a ADA
Teste seu site com os critérios WCAG citados em casos da ADA.
Verificador da EAA
Verifique seu site com a base WCAG da Lei Europeia de Acessibilidade.
Para agências
Audite sites de clientes em SEO, velocidade, acessibilidade e segurança com um plano de equipe.
Leitura relacionada
Website Security Headers Explained: The Complete Checklist
CSP, HSTS, X-Frame-Options, and every other HTTP security header your site should ship - with copy-pasteable examples.
How to Implement a Content Security Policy Without Breaking Your Site
CSP is the highest-leverage security header and the easiest one to break your own site with - a safe rollout strategy using report-only mode.
Verifique os seus cabeçalhos de segurança gratuitamente
Profundidade no CSP, verificação da pré-carga HSTS e mapeamento CWE/OWASP.
Executar auditoria grátis