A página inicial envia menos de quatro dos seis cabeçalhos de segurança comuns, que ajudam a proteger os visitantes contra conexões interceptadas, clickjacking e scripts injetados. A maioria exige uma única linha de configuração.
O que significa
Os cabeçalhos de segurança são instruções que o servidor envia com cada página, dizendo ao navegador o que permitir. Eles não corrigem fraquezas do próprio site, mas tornam muitos ataques comuns bem mais difíceis.
Os seis avaliados são Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (ou frame-ancestors do CSP), Referrer-Policy e Permissions-Policy.
O que o aciona
Uma vez por semana, a verificação Cabeçalhos de segurança carrega a página inicial via HTTPS e conta quantos dos seis cabeçalhos ela envia: todos os seis dão A, cinco B, quatro C, três D, dois E e menos que isso F. Com D ou abaixo, este problema de gravidade Média é gerado, com a nota no título e a lista dos cabeçalhos ausentes. Ele aparece no app e não é enviado por e-mail.
A ausência do cabeçalho HSTS também é informada separadamente. Veja Sem cabeçalho HSTS.
Causas comuns
- A maioria dos servidores web e planos de hospedagem não envia nenhum desses cabeçalhos por padrão.
- Os cabeçalhos estão configurados para algumas pastas ou servidores, mas não para a página inicial.
Como corrigir
- Adicione primeiro os mais simples, que raramente quebram algo: X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin e um Permissions-Policy como camera=(), microphone=(), geolocation=().
- Configure-os no seu servidor web, na CDN, no painel de controle da hospedagem ou em um plugin de segurança do seu CMS.
- Adicione o Content-Security-Policy por último, depois de testá-lo com o Content-Security-Policy-Report-Only, porque uma política rígida pode bloquear seus próprios scripts, fontes ou rastreamento.
Quando é resolvido
O problema some na próxima verificação semanal que encontrar pelo menos quatro dos seis cabeçalhos (nota C ou melhor), e a ação dele sai do plano de ação 7 dias depois.
Se você marcar a ação como concluída e o problema ainda for encontrado 14 dias depois, ela volta como “A correção não funcionou”. Veja Usando o plano de ação.