Checkers

#1

HSTS Header Presence

Verifica se o seu site tem a "trava de segurança" (HTTP Strict Transport Security – HSTS) ativada.

HSTS

#2

HSTS Secure Max-Age Value

Confere se a "trava de segurança" (HTTP Strict Transport Security – HSTS) tem um prazo de validade longo o suficiente.

HSTS

#3

HSTS Preload Property Presence

Verifica se o seu site pede para entrar em um acordo de confiança permanente com os navegadores.

HSTS

#4

HSTS IncludeSubDomains Property Presence

Verifica se a "trava de segurança" (HTTP Strict Transport Security – HSTS) vale para a "família toda" (subdomínios).

HSTS

#5

CSP Header Presence

Verifica se você criou a "Lista de Convidados" (Content Security Policy – CSP) do seu site.

CSP

#6

CSP Default-Src Value

Confere se a regra "Mãe" do Content Security Policy (CSP) está definida.

CSP

#7

CSP Object-Src Value

Verifica se o "segurança da balada" (Content Security Policy – CSP) está impedindo a entrada de tecnologias jurássicas e perigosas.

CSP

#8

CSP Base-Uri Value

Garante que o "segurança da balada" (Content Security Policy – CSP) não deixará ninguém mudar o endereço base dos seus links.

CSP

#9

CSP Form-Action Value

Define para onde os formulários do seu site (login, contato, newsletter) podem enviar dados.

CSP

#10

CSP Frame-Ancestors Value

A regra do "Quem pode me colocar numa moldura?". Define quais sites podem exibir o seu site dentro de um <iframe>.

CSP

#12

CSP Script-Src Value

Controla quem pode executar Scripts (JavaScript) no navegador do usuário. É a principal defesa contra XSS.

CSP

#17

CSP Img-Src Value

Controla de onde as imagens do seu site podem ser carregadas.

CSP

#18

CSP Style-Src Value

Define quem tem permissão para "vestir" o site (arquivos CSS).

CSP

#19

CSP Media-Src Value

Controla a reprodução de áudio e vídeo (tags <audio> e <video>).

CSP

#20

CSP Frame-Src Value

A regra do "O que eu posso assistir na minha TV?". Define quais sites você pode carregar dentro de iframes no seu site.

CSP

#21

CSP Font-Src Value

Controla de onde as fontes de texto (tipografia) podem ser baixadas.

CSP

#22

CSP Connect-Src Value

Define para onde o seu site pode "telefonar" (fazer requisições de dados em segundo plano) via Scripts.

CSP

#13

X-Content-Type-Options Value

Instrui o navegador a não tentar "adivinhar" o tipo de um arquivo, devendo respeitar exclusivamente o tipo informado pelo servidor.

HEADERS

#14

X-Frame-Options Value

A versão clássica da proteção contra Clickjacking, mantida para garantir compatibilidade com navegadores mais antigos.

HEADERS

#15

CORS Access-Control-Allow-Origin Value

O porteiro que verifica o crachá de quem está batendo na porta da sua API.

CORS

#16

CORS Access-Control-Allow-Methods Values

Define quais ações (verbos) os visitantes autorizados podem realizar na sua API.

CORS

#23

Sensitive Files Exposed

Verifica se você está deixando as chaves do seu cofre (senhas, tokens, banco de dados) na porta de entrada para qualquer pessoa pegar.

ARQUIVOS VAZADOS

#24

Configuration File Information Leakage

Confere se seus arquivos de configuração estão contando segredos que não deveriam (senhas esquecidas, modo debug ligado, rotas internas).

ARQUIVOS VAZADOS

#28

Cookie Security Flags

Verifica se os cookies do seu site estão protegidos. Pense neles como crachás de identificação. Sem as flags corretas (HttpOnly, Secure, SameSite), alguém mal-intencionado pode copiá-los ou roubá-los.

COOKIES

#31

Directory Listing

Tenta abrir pastas comuns do site (uploads, backup, tmp, files) e verifica se o servidor lista os arquivos publicamente, como testar se as portas de vários armários do escritório estão destrancadas, expondo tudo que há dentro.

EXPOSIÇÃO DE INFORMAÇÃO

#32

Debug Endpoints

Verifica se endpoints técnicos de desenvolvimento (phpinfo, Swagger, Actuator, GraphQL Playground) ficaram ativos em produção, como esquecer o modo de manutenção aberto, expondo o painel interno para qualquer visitante.

EXPOSIÇÃO DE INFORMAÇÃO

#33

Source Maps

Confere se os arquivos .js.map do site estão acessíveis publicamente: eles são a "receita original" do código do frontend, e em produção expõem o código-fonte de React/Vue/Next para qualquer pessoa.

EXPOSIÇÃO DE INFORMAÇÃO

#34

AI Provider API Keys Exposed

Procura chaves de API de provedores de IA (OpenAI, Anthropic, Google Gemini, Replicate, HuggingFace, Cohere, Groq, Together AI e Perplexity) no HTML da página e nos arquivos JavaScript do próprio site. Chave que chega ao navegador é chave pública: qualquer visitante copia e faz requisições cobradas na sua conta. Chaves do Google só reprovam quando o contexto indica uso em IA generativa, para não confundir com Maps, Firebase e YouTube, que são públicas por design.

CREDENCIAIS NO FRONTEND

#35

NEXT_PUBLIC Sensitive Variable Leakage

Verifica se o bundle de uma aplicação Next.js carrega chave secreta embarcada pelo prefixo NEXT_PUBLIC_: secret key da Stripe, service role do Supabase, chave de IA, connection string de banco, credencial da AWS ou token do GitHub. Variáveis públicas por design, como anon key do Supabase e publishable key da Stripe, ficam de fora por uma lista de isenção.

CREDENCIAIS NO FRONTEND