Verificar cabeçalhos de segurança
Teste os cabeçalhos de segurança HTTP de qualquer site (HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy e outros), receba uma nota de A+ a F e veja como corrigir o que falta.
Como usarNota de segurança dos cabeçalhos
Disponível em: 
Verificar cabeçalhos de segurança: para que serve
Digite o endereço de um site e veja quais cabeçalhos de segurança HTTP ele envia e quais estão faltando: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy e Cross-Origin-Opener-Policy. Cada um tem a explicação do que protege e o valor sugerido para copiar. A nota de A+ a F tira pontos de cabeçalhos que revelam a versão do servidor, como Server e X-Powered-By.
Ideal para conferir o site antes de uma auditoria ou de um teste de invasão.
Como usar
- Digite o endereço do site.
- Toque em Verificar.
- Adicione no servidor os cabeçalhos que faltam.
Quando usar
- Melhorar a nota de segurança do site.
- Proteger o site contra clickjacking.
- Conferir a configuração depois de mudar o Nginx ou a Cloudflare.
Perguntas frequentes
O que são cabeçalhos de segurança?
São instruções que o servidor manda junto com a página dizendo ao navegador como se proteger: só usar HTTPS, não deixar o site ser aberto dentro de outro (clickjacking), de onde pode carregar scripts e quais recursos, como câmera e localização, a página pode pedir.
Como a nota é calculada?
Cada cabeçalho importante vale pontos, com mais peso para HSTS e Content-Security-Policy. Cabeçalhos que revelam a versão do servidor ou da linguagem tiram pontos. A nota vai de A+ (todos presentes) a F (quase nenhum).
Como adicionar esses cabeçalhos?
No Nginx, use add_header; no Apache, Header set no .htaccess; na Cloudflare, use as regras de transformação de cabeçalhos; e em frameworks como Express ou Next.js, um middleware como o helmet. A ferramenta mostra o valor sugerido para cada um.
A Content-Security-Policy pode quebrar meu site?
Pode, se for restritiva demais e bloquear scripts que você usa. Comece com Content-Security-Policy-Report-Only para só ver os relatórios e vá liberando as origens necessárias antes de ativar de verdade.
É grátis mesmo?
Sim, 100% grátis. Sem cadastro, sem assinatura e sem limite de uso. Todas as ferramentas do Ferramentas123 são gratuitas.