Suporte técnico prático
Entender uma verificação de segurança de site público
Use evidências observáveis para escolher uma próxima verificação sensata.Um emblema de cabeçalho verde não pode estabelecer que um site inteiro é seguro.
Última vez revisado:
O que podemos observar
O verificador de segurança do site Ele verifica a ligação final, cabeçalhos HTTP selecionados e um conjunto limitado de referências de recursos e ações de formulário no HTML retornado. Ele não faz login, envia formulários, executa scripts de site ou testa uma exploração.
HTTPS é evidência necessária, não um veredicto de segurança
Um certificado verificado ajuda a estabelecer uma ligação criptografada com o nome de host solicitado. Um site malicioso também pode usar HTTPS. Nossa verificação não audita a configuração TLS entre protocolos, determina a honestidade do operador ou inspeciona dados privados de aplicativos.
HSTS é uma instrução separada do navegador para preferir HTTPS depois de aprender a política.Comece trabalhando com HTTPS antes de adicionar um longo tempo de vida HSTS. Incluir subdomínios ou solicitar o pré-carregamento pode afetar serviços além da página que você está editando; não copie uma política sem verificar essa cobertura.
Combinar o controle com sua finalidade
| Controle | Pergunta útil |
|---|---|
| Política de segurança de conteúdo | A política limita os recursos que o aplicativo realmente precisa?A presença por si só não mostra que ela bloqueia o ataque relevante. |
| Restrições de enquadramento | Revise os frame-ancestors do CSP e qualquer cabeçalho do X-Frame-Options contra essa intenção. |
| nosniff | Os tipos de recursos são servidos corretamente, com uma instrução de navegador correspondente contra o sniffing de MIME? |
| Política de Referrer | Os padrões do navegador, as metapolíticas e os links individuais também são importantes. |
| Política de permissões | Uma ferramenta de câmara deve reter as permissões necessárias para funcionar, mas não pode ser usada para capturar imagens. |
Leia as descobertas de conteúdo misto em um navegador
Um HTTP imagem ou formulário de destino em um HTTPS Algumas solicitações de recursos podem ser atualizadas ou bloqueadas por um navegador. Nossa verificação não as obtém, segue seus redirecionamentos, inspeciona o conteúdo dessas solicitações e, em alguns casos, as exclui. CSS Abra as ferramentas de desenvolvimento da sua própria página para confirmar o que realmente acontece e, em seguida, teste as importantes jornadas do utilizador.
Por que não podemos certificar patches de software
Um valor público de Servidor ou X-Powered-By é uma declaração. Ele pode ser ocultado, alterado, servido por um proxy ou mantido depois que um fornecedor faz o backport de uma correção. Ocultá-lo reduz a divulgação, mas não corrige o software. Para avaliar um aviso de PHP ou plugin, verifique o pacote instalado, a configuração e a orientação do fornecedor com o host ou administrador.
Use um processo de mudança medido
- Verifique se a resposta pertence à página pretendida, em vez de um desafio de bot ou ecrã de erro.
- Analise cada observação em relação ao propósito da página.
- Faça uma alteração de configuração na navegação de teste e teste, formulários, mídia e integrações externas.
- Revise os relatórios do CSP, quando apropriado, antes de impor uma política mais rigorosa.
- Mantenha a aplicação de patches, os backups e a segurança da conta como responsabilidades separadas.
Uma resposta pública limpa pode coexistir com falhas de aplicativos privados; um cabeçalho opcional ausente não é automaticamente uma vulnerabilidade, mas uma resposta pública limpa pode coexistir com falhas de aplicativos privados; um cabeçalho opcional ausente não é automaticamente uma vulnerabilidade.
Referências técnicas: Guia de CSP da MDN, HSTS, nosniff e controles de enquadramento.