Question 1

Quais cabeçalhos de segurança todo site deveria ter?

Accepted Answer

Os cabeçalhos de segurança mais críticos: Content-Security-Policy (CSP) para prevenir XSS, Strict-Transport-Security (HSTS) para forçar HTTPS, X-Frame-Options ou CSP frame-ancestors para prevenir clickjacking, X-Content-Type-Options: nosniff para parar MIME sniffing, e Referrer-Policy para controlar vazamento de referrer. Permissions-Policy também é cada vez mais importante para restringir acesso a recursos do navegador.

Question 2

O que é HSTS e por que é importante?

Accepted Answer

HTTP Strict Transport Security (HSTS) diz aos navegadores para sempre usar HTTPS para um domínio, nunca HTTP, por uma duração definida (max-age). Assim que um navegador vê este cabeçalho, ele se recusará a conectar via HTTP simples — mesmo que o usuário digite http:// manualmente. A diretiva includeSubDomains estende isso a todos os subdomínios, e preload permite listar o site nas listas de preload do navegador.

Question 3

O que fazem os cabeçalhos CORS como Access-Control-Allow-Origin?

Accepted Answer

Os cabeçalhos CORS (Compartilhamento de Recursos de Origem Cruzada) controlam quais origens podem fazer requisições de origem cruzada ao seu servidor. Access-Control-Allow-Origin especifica origens permitidas (use origens específicas, não * para endpoints autenticados). Access-Control-Allow-Methods lista os métodos HTTP permitidos e Access-Control-Allow-Headers lista os cabeçalhos de requisição permitidos. Esses cabeçalhos são definidos na resposta do servidor, não na requisição.

Question 4

Como Cache-Control e ETag funcionam juntos?

Accepted Answer

Cache-Control define a política de cache (ex.: max-age=3600, no-cache, no-store). ETag é uma impressão digital do conteúdo da resposta. Quando uma resposta em cache expira, o navegador envia o ETag em um cabeçalho de requisição If-None-Match. Se o conteúdo não mudou, o servidor responde com 304 Not Modified (sem corpo), economizando largura de banda. Cache-Control: no-cache significa 'sempre revalidar', não 'não armazenar em cache'.

Question 5

O que é Content-Security-Policy e como configurar?

Accepted Answer

CSP é um cabeçalho de resposta que diz aos navegadores quais fontes de scripts, estilos, imagens e outros recursos têm permissão para carregar. Um CSP básico como 'default-src self; script-src self https://cdn.example.com' bloqueia todos os recursos exceto do seu próprio origem e do CDN especificado. Comece com Content-Security-Policy-Report-Only para testar sem bloquear, depois mude para o modo de aplicação. Evite as diretivas 'unsafe-inline' e 'unsafe-eval' pois enfraquecem a proteção XSS.

Analisador de Cabeçalhos HTTP

Perguntas Frequentes

Comments & Feedback