Como ler um relatório de análise de segurança de site

Sua primeira análise de segurança pode parecer abrir um despejo de diagnóstico: uma pontuação em destaque, uma parede de constatações coloridas e muitas siglas. A pontuação diz *onde você está*; as constatações dizem *o que fazer em seguida*. Este guia mostra como ler um relatório como faria um engenheiro de segurança — do número principal até a única correção que mais importa nesta semana.

Comece pela pontuação, mas não pare nela

O IsSafeSite combina três dimensões em um único número: Segurança (60%), SEO (20%) e Proteção de Tráfego (20%). Um site pode ter boa nota geral e ainda esconder um problema crítico, então trate a pontuação como uma linha de tendência que você acompanha ao longo do tempo, não como aprovado/reprovado. O que importa na análise são as constatações abaixo dela.

Ordene por gravidade e depois por esforço

Cada constatação tem uma gravidade. Trabalhe nesta ordem para que seu tempo vá onde o risco é maior:

1. 1Crítico — explorável agora ou expõe dados diretamente. Corrija hoje.
2. 2Alto — um caminho de ataque realista ou um controle ausente que enfraquece todo o resto.
3. 3Médio — lacunas de proteção que importam combinadas com outro problema.
4. 4Baixo / Info — recomendações de boas práticas; agrupe-as em uma limpeza.

Dentro de uma mesma gravidade, faça primeiro as correções baratas. Um cabeçalho Strict-Transport-Security ausente é uma mudança de uma linha com grande impacto; refazer o tratamento de sessões não é. Eliminar primeiro o de baixo esforço e alta gravidade é o jeito mais rápido de mover o número e encurtar a lista.

Leia uma constatação do início ao fim

Cada constatação é escrita para se sustentar sozinha. Uma boa responde a quatro perguntas:

• O que foi observado — o cabeçalho, caminho, campo do certificado ou resposta exatos que a dispararam.
• Por que importa — o risco concreto, não um aviso genérico.
• Como corrigir — a diretiva, o bloco de configuração ou a mudança de código específicos.
• Como confirmar — como deve ser uma nova análise limpa.

Resista à vontade de aplicar em massa correções de um resultado de busca. Um valor de cabeçalho copiado de um site não relacionado pode quebrar seu aplicativo (uma Content-Security-Policy rígida demais é o exemplo clássico). Leia o "porquê" antes de aplicar o "como".

Separe falsos positivos de lacunas reais

A análise automatizada é correspondência de padrões em escala, então espere algum falso positivo — um cabeçalho definido no CDN que o scanner não pôde ver, ou um caminho "exposto" que é público de propósito. A análise fornece gravidade, confiança e evidências justamente para você decidir. Confirme com a sua própria configuração antes de descartar algo e, ao descartar, anote o porquê.

Transforme o relatório em um plano curto

Encerre o relatório com um plano, não com uma lista de 40 tarefas. Um ritmo semanal viável é este:

1. 1Corrija nesta semana tudo que for Crítico e qualquer Alto de uma linha.
2. 2Agende os Altos e Médios restantes com responsáveis e datas.
3. 3Reanalise após cada lote para ver a pontuação se mover e pegar regressões.
4. 4Mantenha uma nota de exceções para tudo que você aceitar conscientemente.

As constatações de cabeçalhos e TLS que você mais encontrará têm cada uma seu próprio aprofundamento: veja Os 10 erros mais comuns em cabeçalhos de segurança e Configurações de SSL/TLS que colocam seu site em risco. Quando quiser automatizar a reanálise, a página de recursos e a documentação da API mostram como integrá-la ao CI.