Cabeçalhos HTTP de segurança explicados: como os sites ganham a nota A
HSTS, Content-Security-Policy, X-Frame-Options e mais — contra o que cada cabeçalho de segurança protege, como se somam numa classificação de segurança e como inspecioná-los em qualquer site.
Porque é que os cabeçalhos de resposta são um sinal de segurança
Antes de uma página renderizar um único píxel, o servidor já disse ao seu navegador em que medida pode confiar nela. Os cabeçalhos de resposta HTTP são instruções: se a ligação tem de permanecer encriptada, que scripts podem correr e se a página pode ser emoldurada por outros sites. Duas páginas podem parecer idênticas no ecrã enquanto uma está blindada e a outra completamente aberta — a diferença está num punhado de linhas de cabeçalhos.
É por isso que o Redirect Radar condensa os cabeçalhos numa única classificação de segurança de A a F para cada salto que rastreia: a nota comprime várias verificações técnicas num sinal que se lê num relance.
Os cabeçalhos que mexem na nota
Strict-Transport-Security (HSTS)
Diz ao navegador: nunca mais fales com este domínio por HTTP simples. Uma vez visto, o navegador eleva cada pedido futuro para HTTPS antes de sair da máquina, o que anula ataques de SSL-stripping em redes Wi-Fi públicas. O valor max-age é a duração da promessa — um ano ou mais é a norma.
strict-transport-security: max-age=31536000; includeSubDomains; preload
Content-Security-Policy (CSP)
O cabeçalho mais forte e mais complexo. Um CSP lista de onde podem ser carregados scripts, estilos, imagens e frames, pelo que uma etiqueta script injetada de uma origem não confiável simplesmente não corre. É a principal defesa contra cross-site scripting (XSS) e exfiltração de dados via markup injetado.
content-security-policy: default-src 'self'; script-src 'self'
X-Frame-Options / frame-ancestors
Controla se a página pode ser embutida num iframe. Sem ele, um atacante pode sobrepor o seu formulário de login dentro da página dele e roubar cliques — o clássico ataque de clickjacking. Os sites modernos expressam a mesma regra através da diretiva frame-ancestors do CSP; o cabeçalho legado continua a proteger navegadores mais antigos.
x-frame-options: DENY
X-Content-Type-Options
Uma palavra: nosniff. Proíbe os navegadores de adivinhar o tipo de um ficheiro, pelo que uma imagem carregada que secretamente contém JavaScript não pode ser executada como script. Barato de definir, sem desvantagens.
x-content-type-options: nosniff
Referrer-Policy
Decide quanto do URL atual é divulgado a terceiros quando segue um link ou carrega um recurso. Sem ele, URLs completos — incluindo tokens em query strings — podem ir parar à analítica de outrem. strict-origin-when-cross-origin é a escolha equilibrada habitual.
referrer-policy: strict-origin-when-cross-origin
Permissions-Policy
Um interruptor geral para funcionalidades poderosas do navegador — câmara, microfone, geolocalização, pagamentos. Declarar camera=(), microphone=(), geolocation=() significa que nem a sua página nem terceiros embutidos podem pedir esses sensores.
permissions-policy: camera=(), microphone=(), geolocation=()
Como os cabeçalhos se somam numa nota
Nenhum cabeçalho sozinho torna um site seguro — a nota reflete o conjunto. O HTTPS é a base: sem ele, os cabeçalhos viajam por um canal que qualquer pessoa na rede pode reescrever, pelo que os saltos em HTTP simples têm má pontuação independentemente do resto. Por cima disso, cada cabeçalho presente fecha uma falha específica.
Inspecione os cabeçalhos de qualquer link
Não precisa de um scanner separado para os ler. Abra o Redirect Radar em qualquer página — ou rastreie um link curto — e cada salto mostra os seus cabeçalhos de resposta completos junto ao código de estado, com a nota resultante mesmo ao lado. Falta strict-transport-security? Um valor inesperado de x-frame-options? Vê-o no mesmo painel onde vive a cadeia de redirecionamento.
Isto é especialmente revelador a meio da cadeia: os domínios de tracking e os redirecionamentos de anúncios têm frequentemente conjuntos de cabeçalhos muito mais fracos do que o destino final, e a nota torna essa diferença visível num relance.
Partilha links seus? A T.LY mantém-nos limpos e com HTTPS primeiro. Crie um link curto com a T.LY e depois rastreie-o no Redirect Radar para verificar a nota que o seu público realmente recebe. Comece a usar a T.LY → e poupe 20% no primeiro mês ou num plano anual com o código
Conclusão
Os cabeçalhos de segurança são pequenas linhas de texto com um impacto desproporcionado: o HSTS tranca a encriptação, o CSP desarma scripts injetados, os cabeçalhos de frames travam o clickjacking e as políticas de sniffing, referrer e permissões fecham fugas mais silenciosas. Os sites que os definem ganham o seu A; os que os ignoram apostam que os utilizadores não vão notar. Agora pode verificar — salto a salto, cabeçalho a cabeçalho.