Cabeçalhos HTTP de um URL

O que o NetCheck mostra

O NetCheck envia um pedido para o endereço indicado a partir dos seus próprios servidores, segue os redirecionamentos um a um e mostra, para a resposta final:

• o código de estado e o número de redirecionamentos seguidos;
• o servidor declarado e o tempo de resposta;
• um resumo dos cabeçalhos de segurança presentes ou em falta;
• a lista completa dos cabeçalhos, para uma análise detalhada.

Os códigos de estado a conhecer

Os cabeçalhos de segurança

• Strict-Transport-Security (HSTS) obriga o navegador a usar apenas HTTPS nesse domínio durante um certo tempo, o que frustra os ataques que tentam voltar a HTTP. Valor comum: max-age=31536000; includeSubDomains.
• Content-Security-Policy (CSP) enumera as fontes autorizadas para scripts, estilos, imagens e molduras. É a melhor defesa contra a injeção de scripts (XSS), e a mais delicada de afinar: uma política demasiado rígida estraga o site.
• X-Frame-Options, ou a diretiva frame-ancestors da CSP, impede que a página seja incorporada numa moldura noutro site, o que bloqueia o clickjacking.
• X-Content-Type-Options: nosniff proíbe o navegador de adivinhar o tipo de um ficheiro, uma porta de entrada clássica para executar conteúdo malicioso.
• Referrer-Policy limita o que a página transmite do seu endereço aos sites para onde aponta.
• Permissions-Policy desativa as funções sensíveis de que o site não precisa: câmara, microfone, localização.

A falta de um destes cabeçalhos não é uma falha em si, mas cada um fecha toda uma família de ataques com um custo quase nulo.

Redirecionamentos e posicionamento

Cada redirecionamento acrescenta uma ida e volta na rede e dilui um pouco o sinal enviado aos motores. Procure ter no máximo um redirecionamento entre o endereço escrito e a página final. Uma cadeia típica a corrigir: http://exemplo.pt, depois https://exemplo.pt, depois https://www.exemplo.pt, depois https://www.exemplo.pt/inicio. É melhor redirecionar o primeiro endereço diretamente para o último.

A cache

• Cache-Control diz quem pode guardar a resposta e durante quanto tempo. no-store proíbe qualquer armazenamento; max-age=3600 permite uma hora.
• ETag e Last-Modified permitem ao navegador voltar a pedir a página apenas se tiver mudado, o que produz uma resposta 304 muito leve.
• Age, acrescentado pelas CDN, indica há quantos segundos a resposta está em cache.

Perguntas frequentes

Porque é que o resultado difere do que vejo no meu navegador?

O pedido parte dos servidores do NetCheck, não do seu computador. Um site pode responder de forma diferente consoante o país, a língua, os cookies ou o tipo de cliente, e algumas firewalls bloqueiam os pedidos automáticos com um 403. O resultado continua representativo do que vê um robô, como um motor de pesquisa.

O cabeçalho «Server» é um risco?

Revela o software usado, por vezes a sua versão, o que ajuda um atacante a procurar falhas conhecidas. Ocultar a versão é uma boa prática, mas não uma proteção em si: manter o servidor atualizado conta muito mais.

Deve usar-se um 301 ou um 302 para passar a HTTPS?

Um 301 (ou um 308), já que a mudança é definitiva. Acrescente depois o cabeçalho HSTS para que o navegador nem sequer tente a versão HTTP.

O meu site devolve 200 mas a página está vazia ou com erro: o que se passa?

Algumas aplicações mostram uma página de erro mas devolvem o código 200. Os motores chamam-lhe «soft 404» e acabam por ignorar essas páginas. Uma página inexistente deve devolver um verdadeiro 404.