Checklist de segurança para sites institucionais (15 pontos)

Tem uma diferença importante entre "meu site nunca foi invadido" e "meu site é seguro". A primeira é sorte, ou falta de atenção de quem procura. A segunda exige revisão ativa. Este checklist reúne os pontos que mais aparecem em varreduras de segurança de sites institucionais reais — não é teoria, é o que costuma faltar na prática.

Organizei em ordem de prioridade: o que resolver primeiro, o que vem depois.

Prioridade alta

1. HTTPS em todo o site, sem exceção Não só na página de login ou de contato — em tudo. E o HTTP deve redirecionar para HTTPS automaticamente, nunca servir conteúdo em texto puro.

2. Certificado SSL/TLS válido e renovando automaticamente Certificado vencido é a forma mais rápida de perder a confiança de quem visita o site (e de sumir do Google, que penaliza isso). Prefira renovação automática a lembrete manual de calendário.

3. Content-Security-Policy (CSP) Cobrimos isso em detalhe noutro artigo — é a principal defesa contra XSS.

4. Nenhum segredo exposto publicamente Arquivo .env, chave de API, credencial de banco de dados acessível via URL direta. Parece óbvio, mas é um dos achados mais comuns em varreduras — geralmente por um deploy mal configurado, não por decisão consciente.

Prioridade média

5. HSTS (Strict-Transport-Security) com includeSubDomains Garante que o navegador nunca tente carregar o site por HTTP de novo, nem em subdomínios.

6. X-Frame-Options ou frame-ancestors Impede que o site seja embutido num iframe invisível em outra página (clickjacking).

7. X-Content-Type-Options: nosniff Impede que o navegador tente "adivinhar" o tipo de um arquivo e execute algo perigoso disfarçado de imagem ou documento.

8. DMARC, SPF e DKIM configurados no DNS Sem isso, qualquer um pode enviar e-mail se passando pelo seu domínio. Vale começar em modo monitoramento (p=none) e evoluir gradualmente para bloqueio (p=reject).

9. Registro CAA no DNS Define quais autoridades certificadoras podem emitir certificado para o seu domínio — sem isso, qualquer CA pode emitir um, inclusive por engano ou fraude.

10. Cookies com atributos corretos Secure, HttpOnly e SameSite bem configurados evitam que cookies de sessão sejam roubados ou usados em ataques cross-site.

Prioridade baixa (mas ainda vale a pena)

11. Permissions-Policy Restringe quais APIs do navegador (câmera, microfone, geolocalização) o site e scripts de terceiros podem usar — mesmo que você não use nenhuma, vale bloquear explicitamente.

12. Referrer-Policy Controla quanta informação da URL de origem vaza para sites externos quando alguém clica num link de saída.

13. security.txt Um arquivo simples em /.well-known/security.txt com um contato para reportar vulnerabilidades. Baixo custo, sinaliza que existe alguém do outro lado cuidando disso.

14. DNSSEC Protege contra envenenamento de cache DNS. Depende do suporte do seu provedor de DNS — vale confirmar antes de tentar habilitar.

15. Sem exposição de tecnologia desnecessária Header X-Powered-By, versões exatas de frameworks no HTML, arquivos de configuração de deploy acessíveis publicamente — nada disso é uma vulnerabilidade por si só, mas facilita o trabalho de quem está mapeando alvos.

Como usar este checklist

Não dá pra revisar tudo isso de memória, e não dá pra confiar só na sensação de "acho que está tudo certo". O caminho mais rápido é rodar uma varredura automatizada que confirme cada item com evidência real — o que está presente, o que está faltando, e o que precisa de mais contexto (como um pentest autenticado) pra confirmar.

Depois da primeira correção, vale saber como ler o relatório de resultado sem se perder na quantidade de itens.