Como analisamos o seu site
A análise é passiva: lemos só o que qualquer navegador ou servidor de email vê. Não entramos no site, não tentamos explorar falhas e não pedimos senhas.
O que verificamos
Cada verificação se baseia em uma norma pública ou em uma base de dados aberta. O relatório mostra o que vimos, por que importa e o que fazer.
Conexão segura
| Verificação | O que lemos | Referência |
|---|---|---|
| Conexão segura (HTTPS) | A resposta da página por https:// e o certificado apresentado | RFC 2818 |
| Passagem de http:// para https:// | Se o endereço sem criptografia redireciona para o criptografado | RFC 9110 |
| HSTS | O cabeçalho Strict-Transport-Security e sua duração | RFC 6797 |
| Validade do certificado | A data de validade e o emissor, confirmados no registro público de certificados | RFC 6962 · crt.sh |
Proteção no navegador
| Verificação | O que lemos | Referência |
|---|---|---|
| Política de conteúdo (CSP) | O cabeçalho Content-Security-Policy | W3C CSP Level 3 |
| Proteção contra incorporação | X-Frame-Options ou frame-ancestors | RFC 7034 |
| X-Content-Type-Options e Referrer-Policy | Os cabeçalhos de proteção recomendados | OWASP Secure Headers |
| Proteção dos cookies | As opções Secure, HttpOnly e SameSite dos cookies da página | RFC 6265 |
| Conteúdo misto e formulários | Scripts, estilos ou formulários que usam http:// em uma página https:// | W3C Mixed Content |
Email do domínio
| Verificação | O que lemos | Referência |
|---|---|---|
| SPF | O registro TXT público que diz quem pode enviar emails do domínio | RFC 7208 |
| DKIM | As chaves públicas de assinatura nos seletores mais comuns | RFC 6376 |
| DMARC | A política _dmarc e o que ela pede ao Gmail e ao Outlook para fazer com emails falsos | RFC 7489 |
| MTA-STS | A política que obriga a receber emails por conexão criptografada | RFC 8461 |
Software
| Verificação | O que lemos | Referência |
|---|---|---|
| Versões à mostra | Versões do servidor, do PHP ou do WordPress anunciadas nos cabeçalhos e no HTML | OWASP WSTG-INFO-02 |
| WordPress e plugins | A versão pública, comparada com a versão atual | api.wordpress.org |
| Vulnerabilidades conhecidas | Falhas publicadas para essas versões do WordPress e dos plugins | CVE · WPVulnerability |
| Bibliotecas JavaScript | Versões de jQuery, Bootstrap e outras com falhas conhecidas | CVE |
| Software do servidor | Versões do PHP ou do servidor que não recebem mais atualizações de segurança | Fim do suporte oficial |
Ameaças
| Verificação | O que lemos | Referência |
|---|---|---|
| Código malicioso | Sinais na página inicial: mineradores, código ofuscado, iframes escondidos e links de spam | Análise do HTML |
| Listas negras | Se o site está marcado como perigoso | Google Web Risk |
SEO local
| Verificação | O que lemos | Referência |
|---|---|---|
| Página legível pelo Google | Se o conteúdo principal está no HTML | Google Search Central |
| Link para o perfil no Google Maps | Um link da página para a ficha do negócio | Perfil da Empresa no Google |
| Dados de negócio local | O bloco LocalBusiness com nome, endereço, telefone e horário | Schema.org |
| Título, descrição, contatos e horário | O que o Google mostra nos resultados e no Maps | Google Search Central |
Como calculamos a nota
Cada verificação tem um peso conforme a gravidade: crítico, importante ou melhoria. A nota é a porcentagem de pontos obtidos. Uma verificação que não conseguimos fazer não conta contra você.
O que não fazemos
- Não fazemos testes de invasão nem tentamos explorar falhas.
- Não entramos no site nem pedimos senhas ou acessos.
- Não analisamos o código do servidor, só o que é público.
- Não garantimos posições no Google. Ninguém pode fazer isso.
- Não substituímos uma auditoria de segurança completa.
Leis e boas práticas
As verificações cobrem as medidas técnicas que o RGPD (artigo 32) e a diretiva NIS2 exigem das empresas. Na lista RGPD e NIS2 você vê o que o seu site já cumpre.
Transparência
Para quem encontrar uma falha no SinalPT, publicamos uma política de divulgação responsável e um arquivo security.txt.
Veja um relatório de exemplo, feito para um site fictício.
Grátis, sem cadastro e sem pedir senhas.