Além de ler os dados do Google, o SaaSMaestro pode visitar seus sites por conta própria para detectar problemas que o Google não informa. As verificações ficam em Saúde dos sites, em Configurações → seu espaço de trabalho → Conexões de dados. Cada uma é um serviço próprio, desativado até que um proprietário ou administrador o ative na respectiva janela, onde também escolhe quais sites ele abrange. Não é preciso instalar nada.
As verificações vêm dos nossos servidores em 35.214.110.192. Se o seu site estiver atrás de um firewall, do Cloudflare ou de um plugin de segurança, libere esse endereço na lista de permissões primeiro. Veja Liberação do nosso endereço IP.
Os serviços
| Serviço | Com que frequência | O que é analisado |
|---|---|---|
| Monitoramento de disponibilidade | A cada 15 minutos | Se a página inicial responde, confirmado de outras regiões antes de uma interrupção ser declarada, além de verificações diárias da tag do Google, do robots.txt, do sitemap e das páginas e de um relatório mensal. |
| Monitoramento de certificados SSL | Semanal | Quando o certificado expira, quem o emitiu e se os visitantes realmente recebem HTTPS. |
| Monitoramento de domínio | Semanal | Quando o registro do domínio expira, o registrador e os bloqueios do registro. |
| DNS e segurança de e-mail | Diário | Alterações de servidores de nomes e de e-mail, e os registros SPF, DMARC e DKIM. |
| Lista negra e malware | Diário | A lista Web Risk do Google de sites perigosos e a lista de malware URLhaus do abuse.ch. |
| Cabeçalhos de segurança | Semanal | Seis cabeçalhos de segurança comuns, avaliados de A a F, e arquivos carregados por HTTP simples. |
| Desempenho em laboratório | Semanal | Um teste do PageSpeed Insights da página inicial no celular, com a pontuação ao longo do tempo. |
| Core Web Vitals | Diário | Velocidade de visitantes reais do Chrome UX Report, lida durante as verificações diárias do Monitoramento de disponibilidade depois que a chave de API é definida. |
| Verificações de páginas-chave | A cada 5, 15 ou 60 minutos | As páginas que você escolhe, como preços ou cadastro, devem carregar e conter o texto informado. |
| Monitoramento de heartbeat | Com a frequência que você definir | Seus próprios cron jobs, backups e workers solicitam um endereço privado; você é alertado quando um deles fica em silêncio. |
Quando um novo site é adicionado, você recebe a oferta dos serviços já ativados para o espaço de trabalho. Os avisos das verificações de SSL, domínio, DNS, listas negras, cabeçalhos de segurança e desempenho são enviados por e-mail a proprietários e administradores como “Alertas de problemas críticos” assim que uma verificação os encontra, cada um apenas uma vez, e enviados a qualquer canal de chat que os receba.
Disponibilidade
A página inicial de cada site é verificada a cada 15 minutos. Um site só é considerado fora do ar depois de duas verificações seguidas com falha, o que evita alarmes falsos por uma única resposta lenta. Respostas como “não autorizado” ou “solicitações demais” contam como no ar, porque o servidor está respondendo.
Antes de uma segunda falha ser declarada como interrupção, servidores de outras regiões também carregam o site. Se a maioria consegue, o problema está entre nosso servidor principal e o site, como uma falha de rede ou uma regra de firewall, então nenhuma interrupção é declarada. A janela de Monitoramento de disponibilidade lista as regiões usadas.
Quando um site cai, proprietários e administradores recebem imediatamente um e-mail de queda (no máximo uma vez por interrupção por semana), e um problema crítico fica registrado até ele voltar. No dia 1º de cada mês, eles também recebem um relatório mensal de disponibilidade com a disponibilidade e as interrupções de cada site no mês anterior; qualquer pessoa pode desativá-lo para si em Notificações.
Verificações diárias
Eles são executados com o Monitoramento de disponibilidade, uma vez por dia para cada site que ele abrange.
| Verificação | O que é analisado |
|---|---|
| Tag do Google | Se a página inicial tem a tag do GA4 deste site, um ID do GA4 diferente, o Google Tag Manager ou nada. |
| robots.txt | Se ele existe, se mudou e se bloqueia todos os mecanismos de busca. |
| Sitemap | Quantas URLs ele lista, lendo até 10 sitemaps filhos. |
| Core Web Vitals | Velocidade para visitantes reais, do Chrome UX Report: Largest Contentful Paint, Interaction to Next Paint e Cumulative Layout Shift. Requer uma chave de API do Chrome UX Report, definida no quadro Core Web Vitals da aba Conexões de dados do espaço de trabalho. |
| Status no índice do Google | Para sites vinculados ao Search Console, se cada página monitorada está no índice do Google, segundo a URL Inspection API. |
| Links internos (semanal) | Até 40 links das páginas monitoradas para o seu próprio site são verificados, e os que respondem 404, 410 ou erro de servidor são listados. |
Um site que carrega a tag do Google por meio de uma ferramenta de consentimento ou do Tag Manager pode mostrar “Google Tag Manager encontrado” ou “Não encontrado” mesmo com o rastreamento funcionando. Confira o relatório Tempo real do GA4 para ter certeza.
Certificados SSL
Uma vez por semana, nossos servidores leem o certificado que cada site apresenta: quando expira e quem o emitiu. Nos oito dias anteriores ao vencimento, ou enquanto o HTTPS estiver ausente, eles verificam diariamente, para que uma renovação seja notada antes de alguém ser avisado. Você é avisado uma semana antes de o certificado expirar, de novo no dia anterior e depois que ele expirar. Ele aparece como pendência na página do site a partir de 14 dias antes.
Eles também verificam se os visitantes recebem HTTPS: você é avisado quando o site só responde por HTTP simples, ou quando o HTTP simples serve o site sem redirecionar para HTTPS. Esses avisos se repetem semanalmente até serem corrigidos.
Registro do domínio
Uma vez por semana, o domínio registrado (example.com para shop.example.com) é consultado no seu registro por RDAP, ou por WHOIS quando o registro não tem RDAP. No mês anterior ao vencimento, é consultado diariamente. Você é avisado um mês, uma semana e um dia antes de o registro expirar, e depois que ele expirar. Você também é alertado imediatamente se o registro colocar o domínio em espera, o que faz o site e o e-mail pararem de funcionar, ou se ele tiver vencido e estiver prestes a ser excluído.
DNS e segurança de e-mail
Uma vez por dia, os registros DNS do domínio são consultados por DNS-over-HTTPS, para que os resultados correspondam ao que o resto da internet vê. Uma mudança de servidores de nomes ou de e-mail gera um alerta imediato e permanece na página do site por uma semana, pois é assim que se parece um domínio sequestrado ou uma migração malfeita.
Para domínios que recebem e-mails, a verificação também sinaliza a falta de registro SPF, mais de um registro SPF, um registro SPF que permite a qualquer um enviar (+all) e a falta de registro DMARC. O DKIM não pode ser listado, então é procurado semanalmente nos seletores usados por serviços de e-mail comuns, e só é exibido quando encontrado.
Listas negras e malware
Uma vez por dia, cada site é consultado na lista Web Risk do Google, que faz o Chrome e outros navegadores exibirem aos visitantes uma página de aviso vermelha no lugar do site, e na lista de downloads de malware URLhaus do abuse.ch. Qualquer uma das duas costuma significar que o site foi invadido, e você é alertado imediatamente.
Esta verificação precisa de uma chave de API do Google Web Risk, de uma chave de autenticação do URLhaus ou de ambas, salvas em sua janela. Sem nenhuma delas, ela não é executada. A API gratuita Safe Browsing do Google não é licenciada para uso comercial, e é por isso que a API paga Web Risk é usada.
Cabeçalhos de segurança e conteúdo misto
Uma vez por semana, a página inicial é carregada por HTTPS e avaliada em seis cabeçalhos: Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (ou CSP frame-ancestors), Referrer-Policy e Permissions-Policy. Todos os seis valem A, cinco valem B, e assim por diante. Você é avisado quando o HSTS está ausente ou quando menos de quatro são enviados.
A página também é pesquisada em busca de arquivos carregados por HTTP simples. Scripts, estilos e frames carregados assim são bloqueados pelos navegadores e podem quebrar a página; imagens e mídia perdem o cadeado. Apenas o HTML como servido é verificado, então arquivos adicionados depois por scripts não são vistos.
Desempenho em laboratório
Uma vez por semana, o PageSpeed Insights do Google testa a página inicial móvel de cada site em um celular simulado e a pontua de 0 a 100, com os tempos de carregamento, bloqueio e mudança de layout. As últimas 12 pontuações semanais são mantidas. Você é avisado quando a pontuação fica abaixo de 50 ou cai 15 pontos ou mais desde o teste anterior, muitas vezes antes que os Core Web Vitals dos visitantes reais reflitam isso. Ele usa a mesma chave de API do Google que os Core Web Vitals, com a API do PageSpeed Insights ativada no projeto dela. O teste é executado nos servidores do Google, não nos nossos.
Verificações de páginas-chave
Adicione as páginas mais importantes, como preços, cadastro ou checkout, com o texto que cada uma deve conter, e escolha verificar a cada 5, 15 ou 60 minutos. Uma página falha quando não carrega, responde com um erro ou deixa de conter o texto, o que detecta uma página quebrada que ainda responde “200 OK”. O texto é procurado na página como nosso servidor a recebe, antes de qualquer script ser executado.
Após duas falhas seguidas, proprietários e administradores recebem um e-mail de queda, os canais de chat são avisados e um problema crítico é registrado. Eles são avisados de novo quando a página volta a funcionar.
Heartbeats
Cada heartbeat recebe um endereço privado, como https://saasmaestro.com/hooks/heartbeat/…. Faça uma de suas tarefas acessá-lo a cada execução, por exemplo adicionando curl -fsS e o endereço ao final de uma linha do cron. Solicitações GET, POST e HEAD contam.
Escolha com que frequência um ping é esperado, de a cada 5 minutos a uma vez por semana, e um período de tolerância para tarefas demoradas. Quando nenhum ping chega dentro do intervalo mais o período de tolerância, proprietários e administradores recebem um e-mail de queda, os canais de chat são avisados e um problema crítico é registrado; eles são avisados de novo quando o ping volta. Um heartbeat só é monitorado depois que seu primeiro ping chega.
Páginas monitoradas e notas automáticas
O SaaSMaestro monitora a página inicial e as cinco páginas de destino mais acessadas. Quando o status, o título, a meta description, a diretiva robots ou o endereço canonical de uma página muda, ou quando o robots.txt muda, uma nota é adicionada automaticamente à linha do tempo e marcada como “Detectado automaticamente”. O mesmo vale para uma página que sai do índice do Google. Assim, uma mudança inesperada no tráfego muitas vezes já vem com a explicação no gráfico.
Onde ver
A caixa de cada serviço em Conexões de dados mostra quando ele foi executado pela última vez e quantos sites precisam de atenção, e o ícone de relógio abre os resultados recentes. A página de cada site tem uma seção Saúde dos sites com os resultados mais recentes. Os problemas também aparecem como pendências; veja Verificações de problemas e gravidades.