APIBlogContato

Blog

Segurança

O primeiro passo de segurança num site público é conferir o que qualquer visitante enxerga de fora: se todo acesso vai para HTTPS com certificado válido, se os cabeçalhos de segurança estão presentes, se há arquivos expostos, se o CMS e os plugins estão atualizados e quais scripts de terceiros rodam na página. Os guias abaixo explicam cada item, os cabeçalhos HTTP e as regras do PCI DSS 4.0 para scripts no checkout.

Comece por aqui

Segurança básica de um site: HTTPS, cabeçalhos e scripts

O que checar primeiro, de fora, num site público: HTTPS, TLS, certificado, cabeçalhos, arquivos expostos, versões, scripts de terceiros e cookies.

Guia completo · 14 min de leitura

Para aprofundar

Perguntas frequentes

Uma verificação externa encontra todas as falhas de segurança?
Não. Ela vê configuração e exposição: HTTPS, certificado, cabeçalhos, arquivos acessíveis e scripts. Falhas no código, senhas mal guardadas e a resistência do painel administrativo exigem revisão de código e teste de intrusão.
Quais cabeçalhos de segurança configurar primeiro?
Os mais comuns são HSTS, Content-Security-Policy, X-Content-Type-Options e Referrer-Policy, além de impedir que a página seja embutida por outros sites. O artigo sobre cabeçalhos traz valores de partida e o que cada um pode quebrar.
O robots.txt protege arquivos sensíveis?
Não. O robots.txt só pede aos robôs que não rastreiem um caminho, e qualquer pessoa pode lê-lo. Arquivos como .env, .git e backups precisam ficar fora do servidor web ou com acesso bloqueado.
O PCI DSS 4.0 vale para a minha loja?
Os requisitos 6.4.3 e 11.6.1, sobre scripts e alterações na página de pagamento, valem para lojas que aceitam cartão e dependem de como o pagamento está integrado. Quem redireciona o cliente ao provedor de pagamento ou terceiriza todo o pagamento tem regras diferentes.

Outros temas

  • Acessibilidade

    Se a sua empresa tem sede ou representação comercial no Brasil, o site dela precisa ser acessível para pessoas com deficiência: é o que manda o art. 63 da Lei Brasileira de Inclusão (Lei 13.146/2015).

    5 guias

  • Privacidade e LGPD

    A LGPD (Lei 13.709/2018) não fala em cookies, mas vale para qualquer cookie, pixel ou script que colete dado pessoal de quem visita o site.

    3 guias

  • Performance

    Core Web Vitals são três métricas do Google que medem a experiência real de quem visita: o LCP mede o carregamento, o INP mede a resposta a cliques e toques e o CLS mede a estabilidade visual.

    6 guias

  • SEO técnico

    O Google só mostra uma página depois de rastreá-la, processar o conteúdo e decidir guardá-la no índice.

    5 guias

Parceiros

Benefícios de parceiros com o mesmo cupom.

WPLIGHT

Links de parceiros. Podemos receber uma comissão, sem custo adicional para você.