Cabeçalhos de segurança de sites: uma lista de 9 pontos que você pode corrigir hoje

01Por que os cabeçalhos importam

Os cabeçalhos de segurança dizem ao navegador do visitante para recusar comportamentos arriscados: carregar a sua página dentro do frame de outro site, adivinhar tipos de arquivo, enviar o seu endereço completo a outros sites ou executar scripts de origens desconhecidas. Não custam nada, não pesam na página e bloqueiam classes inteiras de ataques.

021. HTTPS com certificado válido

Tudo começa aqui. O site inteiro deve carregar por HTTPS com um certificado válido e não expirado. Certificados gratuitos do Let's Encrypt ou da sua CDN são suficientes.

032. HTTP redireciona para HTTPS

Se alguém digitar o endereço simples http://, o servidor deve responder com um redirecionamento permanente para a versão https://.

043. HSTS: lembrar de usar HTTPS

O cabeçalho Strict-Transport-Security diz ao navegador para usar HTTPS no seu domínio por muito tempo, mesmo que o visitante digite http.

Strict-Transport-Security: max-age=31536000; includeSubDomains

054. Content Security Policy (CSP)

A CSP lista de onde scripts, estilos e imagens podem ser carregados. É a defesa mais forte contra cross-site scripting (XSS) e o cabeçalho mais difícil de acertar.

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

065. Proteção contra clickjacking

Impeça que outros sites incorporem as suas páginas em um frame oculto. A forma moderna é frame-ancestors na CSP, e X-Frame-Options cobre navegadores antigos.

X-Frame-Options: DENY

076. X-Content-Type-Options

Diz ao navegador para confiar no tipo de arquivo declarado e não tentar adivinhar. Uma linha, sem desvantagem.

X-Content-Type-Options: nosniff

087. Referrer-Policy

Controla quanto do endereço da sua página é compartilhado quando um visitante clica em um link para outro site.

Referrer-Policy: strict-origin-when-cross-origin

098. Sem vazamento de tecnologia

Cabeçalhos como Server: nginx/1.18.0 ou X-Powered-By: PHP/7.4 dizem aos atacantes exatamente quais versões procurar. Remova ou oculte-os onde a sua plataforma permitir.

109. Cookies seguros

Cookies que guardam uma sessão de login devem ter Secure (somente HTTPS), HttpOnly (não legível por scripts) e SameSite (limita o envio entre sites).

Set-Cookie: session=...; Secure; HttpOnly; SameSite=Lax

11Onde configurar

Nos recursos estáticos do Cloudflare Workers, coloque um arquivo _headers simples ao lado dos arquivos do seu site:

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains
  X-Content-Type-Options: nosniff
  X-Frame-Options: DENY
  Referrer-Policy: strict-origin-when-cross-origin

Outras hospedagens têm seu próprio lugar para isso: add_header no nginx, Header set no Apache ou o painel da sua hospedagem.

12Teste o seu site

Digite o seu endereço e confirme que você pode verificá-lo. Uma requisição normal é enviada, como por qualquer navegador, e nada é armazenado.