Verificador de segurança HTTP

A maioria das falhas de segurança na web não são ataques inteligentes. Eles são um cabeçalho que nunca foi definido ou um número de versão que o servidor oferece voluntariamente a qualquer um que perguntar. Aponte o scanner para um site que você controla e obtenha os cabeçalhos e as tecnologias por trás dele - avaliados, mantidos e monitorados durante o dia em que alguma coisa mudar.

Seis razões para verificar sua própria camada HTTP

Cabeçalhos são a segurança mais baratatrabalho existe. Eles são configuração, não código, e a maioria deles tem uma linha.

Encontre os cabeçalhos que nunca foram definidos

Os cabeçalhos de segurança são as instruções que um site fornece ao navegador sobre como tratá-lo. Sem eles, o navegador aplica seus padrões, que são permissivos por design porque a web precisa continuar funcionando para sites escritos há vinte anos. Nada quebra quando falta um cabeçalho, e é exatamente por isso que permaneceausente.

Impedir que o servidor se apresente

Uma instalação padrão geralmente anuncia seu software e versão em cada resposta. Isso não é uma vulnerabilidade por si só, e também é a primeira coisa que um invasor lê - transforma “encontrar uma maneira de entrar” em “procurar as falhas conhecidas nesta versão exata”. Desligar o banner não custa nada.

Verifique os cabeçalhos que se aplicam apenas à página certa

Strict-Transport-Security na página inicial de marketing e não na página de login é uma falha comum e silenciosa. Os sinalizadores de cookies são iguais: Secure e HttpOnly definidos em um cookie e esquecidos no cookie de sessão. Testar um URL informa sobre um URL.

Veja quais tecnologias você está realmente executando

A resposta geralmente revela a estrutura, o servidor e muitas vezes o CMS. Saber o que é detectável de fora é o ponto de partidaponto importante para saber se alguma delas está desatualizada - e frequentemente não é a versão que a equipe acredita estar implantada.

Veja o que uma implantação removeu silenciosamente

Os cabeçalhos residem em configurações que são substituídas: um novo proxy reverso, um CDN adicionado na frente, uma atualização de estrutura que redefine os padrões. O site parece idêntico depois. Os cabeçalhos desapareceram e ninguém olha para os cabeçalhos, a menos que algo esteja errado.

Produzir evidências para umrevisão de segurança

O questionário de segurança de um cliente pergunta se você definiu uma Política de Segurança de Conteúdo. Um relatório datado mostrando quais cabeçalhos cada host retorna é uma resposta melhor do que marcar uma caixa e é evidência que você pode manter.

Saiba o dia em que sua configuração muda

Uma configuração HTTP não muda gradualmente. Ele muda em uma implantação e a mudança fica invisível no navegador.

As verificações agendadas transformam isso emuma diferença que te falam: esse cabeçalho desapareceu, essa versão tecnológica retrocedeu, essa nota caiu. Os alertas chegam no aplicativo, por e-mail ou pelo Slack, Teams, Jira ou webhook.

Etapa 01 · Nomeie o alvo

Um nome de host ou domínio que você controla, adicionado à sua conta AYAsec. A propriedade é verificada antes de qualquer coisa ser despachada - AYAsec não agendará verificações em infraestruturas sobre as quais você não demonstrou controle e provando que é necessário um registro DNS. A verificação rápida acima ignora isso: sem conta, sem verificação, apenas limitação de taxa de IP e uma regra de que o alvo deve ser públicoendereço.

Etapa 02 · Escolha o perfil

Três profundidades. Passivo lê o que o site retorna sem investigar. Ativo envia solicitações de teste para encontrar pontos fracos que aparecem apenas abaixo deles. Estendido vai mais longe novamente. Passivo está seguro contra qualquer coisa; os perfis mais profundos são tráfego real e devem ser direcionados para o que você espera que eles toquem.

Etapa 03 · Leia o resultado

As descobertas chegam ordenadas por gravidade e pontuadas de A+ a F. HTTPcarrega o peso mais pesado no tipo compósito - 30%, mais do que qualquer outra camada - porque é onde realmente reside a maior parte do que é alcançável.

O que a verificação verifica

Cabeçalhos de segurança

Quais estão presentes, quais estão faltando e se os valores estão fazendo o que parecem estar fazendo. Um Content-Security-Policy que permite que tudo esteja presente e inútil.

Detecção de tecnologia

O servidor, estrutura ebibliotecas que as respostas revelam, com versões onde são divulgadas.

Vulnerabilidades web conhecidas

Depois de fazer login no perfil ativo ou estendido, a varredura é alimentada pelo OWASP ZAP, o scanner de aplicativos da web de código aberto mantido pelo Open Worldwide Application Security Project e a ferramenta com a qual esta categoria é avaliada. A verificação rápida acima permanece passiva: sem ZAP, sem sondagem, apenas uma solicitação necessária para ler ocabeçalhos. HTTP é uma das cinco camadas pontuadas. Os outros são TLS e portas e DNS com 20% cada, e credibilidade do domínio com 10%.

Perguntas antes de digitalizar

O que posso digitalizar?

Infraestrutura que você possui ou foi contratada para testar. A verificação rápida acima não verifica isso para você - ela apenas limita a taxa por IP e se recusa a direcionar qualquer coisa que não seja um endereço público. Adicione o alvo a umEm vez disso, conta AYAsec, e o controle é verificado antes de qualquer execução programada: um limite legal e prático, já que uma varredura não verificada também não tem utilidade para você como prova.

A verificação interromperá o site?

O perfil passivo não funcionará - ele lê respostas a solicitações comuns. Os perfis ativo e estendido enviam solicitações de teste por design, e é assim que eles encontram coisas que as verificações passivas não conseguem. Aponte-os para um ambiente que vocêestão preparados para serem sondados.

Isso é um teste de penetração?

Não, e não substitui um. Uma verificação automatizada encontra as classes de problemas que podem ser encontradas automaticamente. Um teste de penetração é uma pessoa que procura aqueles que não conseguem.

Usamos um CDN. Estou testando meu site ou o deles?

Ambos, e vale a pena saber. Os cabeçalhos que um visitante recebe são aqueles que o CDN envia, independentemente de quem os definiu. Se sua origem definir um cabeçalho nas faixas CDN, oo visitante não entende - e a varredura mostra o que o visitante recebe.

Os cabeçalhos ausentes são realmente importantes?

Individualmente, muitas vezes não muito. Coletivamente, eles são a diferença entre um navegador que defende seus usuários e outro que faz tudo o que lhe é mandado. Eles também são a solução mais barata para qualquer backlog de segurança, o que os torna uma coisa ruim para ainda ter em aberto.

Você mantém os resultados?

Não a verificação rápida acima - ela permanece na memória por cerca de quinze minutos, então você pode lê-la uma vez e depois desaparece. Essa é uma escolha deliberada de privacidade, não uma limitação: ninguém além de você vê essa verificação e você pode baixar o resultado completo antes que expire. Adicione o destino a uma conta AYAsec e cada varredura será mantida - uma série que informa qual implantação removeu o cabeçalho. A retenção depende do seu plano.

Mantenha a história, não apenaso resultado

Execute o scanner completo em seu próprio patrimônio, de acordo com um cronograma, com todos os resultados retidos e todas as alterações sinalizadas.

Comece a digitalizar gratuitamente Compare planos

Mais scanners de segurança gratuitos para TLS, portas e DNS

HTTP é uma das cinco camadas pontuadas. Cada um dos outros responde a uma pergunta diferente:

View all free security scanners

Dados estruturados para incorporar

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec HTTP Security Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/http-security-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Não adicione a marcação FAQPage ou HowTo. O Google retirou ambos os tipos de resultados.