Análise de segurança
Análise de segurança, com prioridades claras
Uma revisão do que está exposto ou mal configurado no site: cabeçalhos, dependências, painéis de administração acessíveis, certificado SSL e cópias de segurança. O resultado é um relatório com o que corrigir primeiro.
O que inclui
O que é verificado
-
Cabeçalhos de segurança
HSTS, Content-Security-Policy, proteção contra framing, Referrer-Policy e outros cabeçalhos HTTP que o browser usa para proteger quem visita.
-
HTTPS e certificado
Validade do certificado, redirecionamentos para HTTPS e versões de TLS aceites pelo servidor.
-
Dependências e versões
CMS, plugins e bibliotecas com vulnerabilidades conhecidas e publicadas, e o que está desatualizado.
-
Painéis e ficheiros expostos
Páginas de administração, ficheiros de configuração, cópias esquecidas ou listagens de pastas acessíveis a qualquer pessoa.
-
Cópias de segurança
Se existem, onde ficam guardadas, com que frequência são feitas e quando foi testado o último restauro.
-
Email do domínio
Registos SPF, DKIM e DMARC, que dificultam o envio de emails falsos em nome do seu domínio.
O relatório
Cada ponto com prioridade e solução
Cada problema encontrado vem explicado em linguagem simples, com o risco que representa, a prioridade e o que fazer para o corrigir. Serve a quem decide e a quem vai fazer as correções.
O que esta análise não é
Não é um teste de intrusão nem uma certificação. A análise verifica configurações e versões sem tentar explorar vulnerabilidades nem sobrecarregar o site, e só é feita com autorização de quem é responsável por ele.
- Crítico
Cópia da base de dados acessível publicamente
Um ficheiro .sql esquecido na raiz do site. Remover e verificar se há outras cópias.
- Alta
Três plugins com vulnerabilidades conhecidas
Versões com falhas publicadas. Atualizar ou substituir, por esta ordem.
- Média
Sem Content-Security-Policy
Adicionar uma política em modo de relatório e apertá-la depois.
- Baixa
DMARC em modo de monitorização
Rever os relatórios e passar para quarentena.
Casos típicos
Quando faz sentido
Um site sem manutenção há anos
Ninguém sabe ao certo o que está instalado nem quando foi a última atualização.
Antes de lançar um site novo
Uma verificação final para não publicar com configurações por defeito ou ficheiros de teste.
Um site herdado de outro fornecedor
Perceber o estado real antes de assumir a responsabilidade por ele.
Depois de um comportamento estranho
Redirecionamentos para outros sites, spam ou páginas desconhecidas. Nesse caso, a análise é o primeiro passo para recuperar o site.
Como funciona
Quatro passos, sem interromper o site
-
01
Autorização e âmbito
Que domínios entram na análise e, opcionalmente, um acesso de leitura ao painel ou ao servidor.
-
02
Análise
Verificações passivas e leves, de fora e, com acesso, de dentro.
-
03
Relatório
Cada problema com prioridade, explicação e correção recomendada.
-
04
Correções
Feitas pela Tejobit, num plano de manutenção, ou por quem já mantém o site. O relatório serve a ambos.
Perguntas frequentes
Antes de começar
É um teste de intrusão?
Não. Um teste de intrusão tenta explorar vulnerabilidades ativamente. Esta análise verifica configurações, versões e exposição, sem atacar o site.
É preciso dar acessos?
Não obrigatoriamente. Parte da análise faz-se de fora, como qualquer visitante. Com acesso de leitura ao painel ou ao servidor, a revisão das versões e das cópias de segurança fica mais completa.
O site fica em baixo durante a análise?
Não. As verificações são leves, sem testes de carga nem tentativas de ataque.
A análise garante que o site fica seguro?
Não há garantias absolutas em segurança. O relatório reduz os riscos mais prováveis e indica a ordem certa para os corrigir.
Funciona só para WordPress?
Não. A análise aplica-se a qualquer site. Em WordPress, a revisão de plugins e temas é mais detalhada.
Quer saber em que estado está o seu site?
Indique o endereço e quem o mantém hoje. A resposta indica o âmbito da análise e quanto custa.