Analisador de cabeçalhos de segurança HTTP
Cole um bloco de cabeçalhos HTTP brutos (por exemplo, copiados da aba Rede do seu navegador) para verificar a presença dos principais cabeçalhos de segurança e entender o papel de cada um. A análise é feita inteiramente no seu navegador.
Como funciona
Muitos ataques web (clickjacking, XSS, downgrade para HTTP) podem ser bastante atenuados por alguns cabeçalhos de resposta HTTP bem configurados. Cole o bloco de cabeçalhos retornado pelo seu servidor (visível na aba Rede das ferramentas de desenvolvedor de qualquer navegador, na requisição do documento principal) para verificar quais estão presentes, quais estão ausentes e o que cada um protege na prática.
Onde encontrar os cabeçalhos HTTP do meu site?
Abra as ferramentas de desenvolvedor do navegador (F12), aba “Rede”, recarregue a página, clique na requisição do documento HTML principal e copie a seção “Response Headers”. Cole esse texto como está no campo acima.
É preciso ativar todos esses cabeçalhos em todos os sites?
A maioria dos sites públicos se beneficia de ativar Strict-Transport-Security, X-Content-Type-Options e uma Content-Security-Policy adequada. Referrer-Policy e Permissions-Policy dependem mais do contexto (dados sensíveis na URL, necessidade de acesso à câmera/microfone). X-XSS-Protection está obsoleto, e sua ausência é normal em um site moderno e bem configurado.
Privacidade: a análise é feita inteiramente no seu navegador — os cabeçalhos colados nunca são enviados a um servidor.