Cabeçalhos de segurança HTTP
As vantagens de segurança mais fáceis disponíveis: cabeçalhos de servidor que protegem contra XSS, clickjacking, detecção de MIME e remoção de SSL. A maioria leva menos de uma hora para configurar.
Ludwig Makhyan · Fundador, WebsiteCoach
Ir para a seção
Visão Geral Executiva
Os cabeçalhos de segurança HTTP são diretivas em nível de servidor que instruem os navegadores sobre como lidar com seu conteúdo com segurança. Eles estão entre as melhorias de segurança de maior impacto e menor esforço disponíveis — normalmente não exigem alterações de código, apenas configuração de servidor ou CDN. Cabeçalhos ausentes são citados consistentemente nos 10 principais riscos de segurança de aplicações web da OWASP.
Impacto nos negócios
Um ataque XSS bem-sucedido (evitável com CSP) pode levar ao sequestro de sessão, roubo de credenciais e violações de dados do cliente. De acordo com o GDPR, uma violação de dados pode resultar em multas de até 4% da receita anual global. A falta de HSTS deixa seu site vulnerável à remoção de SSL – um ataque man-in-the-middle que intercepta dados em conexões não criptografadas.
Fonte: Análise do cabeçalho de resposta HTTP realizada em cada auditoria do WebsiteCoach.
Cabeçalhos de segurança explicados
Este cabeçalho é verificado quanto à presença e qualidade da configuração porque valores fracos podem deixar as proteções do navegador incompletas.
- Política de segurança de conteúdo (CSP)
- Segurança Estrita de Transporte (HSTS)
- Opções de tipo de conteúdo X
- Opções de quadro X
- Política de referência
- Política de permissões
- Política de recursos de origem cruzada (CORP)
- Política de abertura de origem cruzada (COOP)
- Política de incorporação de origem cruzada (COEP)
Plano de Ação Específico da Função
- →Aprovar a implementação do cabeçalho de segurança como parte da postura de conformidade
- →Entenda que a falta de CSP e HSTS são descobertas comuns em auditorias de segurança e testes de penetração
- →Incluir conformidade de cabeçalho de segurança nas avaliações de segurança do fornecedor
- →Configure todos os cabeçalhos de segurança no nível de proxy reverso ou CDN (nginx, Cloudflare, Vercel)
- →Habilite o pré-carregamento de HSTS via hstspreload.org após confirmar a cobertura HTTPS completa
- →Adicione o conjunto de regras gerenciadas de cabeçalhos de segurança da Cloudflare se estiver usando a Cloudflare
- →Rascunho da política CSP começando com o modo somente relatório para evitar alterações significativas
- →Use o Mozilla Observatory ou WebsiteCoach para avaliar a integridade do cabeçalho
- →Configurar endpoint de relatório de violação de CSP para monitorar recursos bloqueados
- →Revise e restrinja a Política de Permissões para permitir apenas APIs de navegador necessárias
- →Remova todos os blocos <script> e <style> embutidos – substitua por arquivos externos (obrigatório para CSP estrito)
- →Audite todos os scripts de terceiros e adicione seus domínios à lista de permissões do CSP
- →Teste após a implantação do CSP usando o console do navegador para detectar erros de violação
Perguntas frequentes
O que é Cabeçalhos de segurança HTTP?
As vantagens de segurança mais fáceis disponíveis: cabeçalhos de servidor que protegem contra XSS, clickjacking, detecção de MIME e remoção de SSL. A maioria leva menos de uma hora para configurar.
Por que Cabeçalhos de segurança HTTP é importante?
Um ataque XSS bem-sucedido (evitável com CSP) pode levar ao sequestro de sessão, roubo de credenciais e violações de dados do cliente. De acordo com o GDPR, uma violação de dados pode resultar em multas de até 4% da receita anual global. A falta de HSTS deixa seu site vulnerável à remoção de SSL – um ataque man-in-the-middle que intercepta dados em conexões não criptografadas.
Referências oficiais
Tópicos relacionados
Verifique sua pontuação segurança agora
Auditoria gratuita em 60 segundos – sem necessidade de conta.
Execute auditoria gratuita