Como analisamos o teu site
A análise é passiva: lemos só o que qualquer browser ou servidor de email vê. Não entramos no site, não tentamos explorar falhas e não pedimos palavras-passe.
O que verificamos
Cada verificação baseia-se numa norma pública ou numa base de dados aberta. O relatório mostra o que vimos, porque importa e o que fazer.
Ligação segura
| Verificação | O que lemos | Referência |
|---|---|---|
| Ligação segura (HTTPS) | A resposta da página por https:// e o certificado apresentado | RFC 2818 |
| Passagem de http:// para https:// | Se o endereço sem cifra redireciona para o cifrado | RFC 9110 |
| HSTS | O cabeçalho Strict-Transport-Security e a sua duração | RFC 6797 |
| Validade do certificado | A data de validade e o emissor, confirmados no registo público de certificados | RFC 6962 · crt.sh |
Proteção no browser
| Verificação | O que lemos | Referência |
|---|---|---|
| Política de conteúdo (CSP) | O cabeçalho Content-Security-Policy | W3C CSP Level 3 |
| Proteção contra enquadramento | X-Frame-Options ou frame-ancestors | RFC 7034 |
| X-Content-Type-Options e Referrer-Policy | Os cabeçalhos de proteção recomendados | OWASP Secure Headers |
| Proteção dos cookies | As opções Secure, HttpOnly e SameSite dos cookies da página | RFC 6265 |
| Conteúdo misto e formulários | Scripts, estilos ou formulários que usam http:// numa página https:// | W3C Mixed Content |
Email do domínio
| Verificação | O que lemos | Referência |
|---|---|---|
| SPF | O registo TXT público que diz quem pode enviar emails do domínio | RFC 7208 |
| DKIM | As chaves públicas de assinatura nos seletores mais comuns | RFC 6376 |
| DMARC | A política _dmarc e o que pede ao Gmail e ao Outlook para fazer com emails falsos | RFC 7489 |
| MTA-STS | A política que obriga a receber emails por ligação cifrada | RFC 8461 |
Software
| Verificação | O que lemos | Referência |
|---|---|---|
| Versões à vista | Versões do servidor, do PHP ou do WordPress anunciadas nos cabeçalhos e no HTML | OWASP WSTG-INFO-02 |
| WordPress e plugins | A versão pública, comparada com a versão atual | api.wordpress.org |
| Vulnerabilidades conhecidas | Falhas publicadas para essas versões do WordPress e dos plugins | CVE · WPVulnerability |
| Bibliotecas JavaScript | Versões de jQuery, Bootstrap e outras com falhas conhecidas | CVE |
| Software do servidor | Versões do PHP ou do servidor que já não recebem atualizações de segurança | Fim de suporte oficial |
Ameaças
| Verificação | O que lemos | Referência |
|---|---|---|
| Código malicioso | Sinais na página inicial: mineradores, código ofuscado, iframes escondidos e links de spam | Análise do HTML |
| Listas negras | Se o site está marcado como perigoso | Google Web Risk |
SEO local
| Verificação | O que lemos | Referência |
|---|---|---|
| Página legível pelo Google | Se o conteúdo principal está no HTML | Google Search Central |
| Ligação à ficha do Google Maps | Uma ligação da página para a ficha do negócio | Perfil da Empresa no Google |
| Dados de negócio local | O bloco LocalBusiness com nome, morada, telefone e horário | Schema.org |
| Título, descrição, contactos e horário | O que o Google mostra nos resultados e no Maps | Google Search Central |
Como calculamos a nota
Cada verificação tem um peso conforme a gravidade: crítico, importante ou melhoria. A nota é a percentagem de pontos obtidos. Uma verificação que não conseguimos fazer não conta contra ti.
O que não fazemos
- Não fazemos testes de intrusão nem tentamos explorar falhas.
- Não entramos no site nem pedimos palavras-passe ou acessos.
- Não analisamos o código do servidor, só o que é público.
- Não garantimos posições no Google. Ninguém o pode fazer.
- Não substituímos uma auditoria de segurança completa.
Leis e boas práticas
As verificações cobrem as medidas técnicas que o RGPD (artigo 32.º) e a diretiva NIS2 pedem às empresas. Na lista RGPD e NIS2 vês o que o teu site já cumpre.
Transparência
Para quem encontrar uma falha no SinalPT, publicamos uma política de divulgação responsável e um ficheiro security.txt.
Vê um relatório de exemplo, feito a um site fictício.
Grátis, sem registo e sem pedir palavras-passe.