Checklist de segurança básica para o site e o domínio da sua empresa

Quando se fala em segurança digital, muita gente pensa em ataques sofisticados. Na prática, boa parte dos problemas de empresas pequenas e médias vem de configurações básicas que ninguém conferiu: o certificado que venceu, o e-mail que qualquer um consegue falsificar, o site que aceita conexão sem criptografia. A boa notícia é que essas configurações são conhecidas, documentadas e, em geral, simples de corrigir.

Este checklist foi escrito para gestores, não para especialistas. A ideia é que você entenda o que cada item faz e consiga conversar com quem cuida do seu site e do seu domínio.

Parte 1: o site

HTTPS em todas as páginas

O HTTPS criptografa a conexão entre o navegador do visitante e o seu site. Sem ele, dados digitados em formulários podem ser lidos no caminho, e os navegadores exibem o aviso de "não seguro", o que afasta clientes.

Como conferir: abra o seu site e veja se o endereço começa com https e se há o ícone de cadeado. Depois, digite o endereço começando com http (sem o "s") e veja se o navegador é redirecionado automaticamente para a versão segura.

Certificado válido e renovação automática

O certificado é o que permite o HTTPS. Ele tem data de validade, e um certificado vencido derruba a confiança no site de uma hora para outra: o navegador mostra uma página de alerta antes de deixar o visitante entrar.

Como conferir: clique no cadeado e veja a validade do certificado. Pergunte a quem cuida do site se a renovação é automática e se alguém recebe um aviso caso ela falhe.

Versão moderna do TLS

O TLS é o protocolo por trás do HTTPS. Versões antigas têm fraquezas conhecidas e já foram abandonadas pelos navegadores modernos. O servidor do seu site deve aceitar apenas as versões atuais.

HSTS

O HSTS (HTTP Strict Transport Security) é um cabeçalho que diz ao navegador: "neste site, use sempre HTTPS, mesmo que alguém digite http". Ele fecha uma brecha em que um atacante na mesma rede Wi-Fi poderia interceptar o primeiro acesso, antes do redirecionamento.

Atenção: o HSTS deve ser ativado quando o HTTPS já estiver funcionando bem em todo o site e nos subdomínios cobertos por ele. Ative com um prazo curto primeiro e aumente depois, para não deixar visitantes sem acesso por um erro de configuração.

CSP (política de segurança de conteúdo)

A CSP (Content Security Policy) diz ao navegador de onde o seu site pode carregar scripts, estilos, imagens e outros recursos. Se alguém conseguir injetar um código malicioso numa página, a CSP limita o que esse código consegue fazer.

Montar uma CSP exige conhecer o que o site carrega de fora, como ferramentas de chat, mapas e análise de visitas. Quanto menos coisa de terceiros o site carrega, mais simples e mais forte a política pode ser.

Outros cabeçalhos de segurança

Alguns cabeçalhos simples fecham portas comuns:

• X-Content-Type-Options: impede o navegador de "adivinhar" o tipo de arquivo, o que evita certos ataques.
• Proteção contra enquadramento (pelo cabeçalho X-Frame-Options ou pela própria CSP): impede que o seu site seja exibido dentro de outro site, técnica usada para enganar o visitante e fazê-lo clicar onde não deveria.
• Referrer-Policy: controla quanta informação sobre a página de origem é enviada quando o visitante clica num link externo.

Atualizações e acessos

Plataformas, plugins e bibliotecas desatualizados estão entre as portas de entrada mais comuns. Mantenha tudo atualizado e remova o que não é usado. Revise também quem tem acesso ao painel do site, à hospedagem e ao domínio: cada pessoa com a permissão mínima de que precisa, e acessos de quem saiu da empresa removidos.

Cópias de segurança testadas

Backup que nunca foi restaurado é só uma esperança. Confirme com quem cuida do site com que frequência as cópias são feitas, onde ficam guardadas (de preferência fora do mesmo servidor) e quando foi a última vez que alguém testou uma restauração.

Parte 2: o e-mail do domínio

Se a sua empresa usa e-mail com o próprio domínio (como contato@suaempresa.com.br), três registros no DNS ajudam a impedir que golpistas enviem mensagens se passando por você, e a evitar que os seus e-mails legítimos caiam no spam.

SPF

O SPF (Sender Policy Framework) é uma lista publicada no seu domínio dizendo quais servidores podem enviar e-mail em nome dele. Quando um provedor recebe uma mensagem que diz vir da sua empresa, ele consulta essa lista. Se o servidor de origem não estiver nela, a mensagem é suspeita.

Cuidado comum: esquecer de incluir serviços que enviam e-mails em nome da empresa, como a ferramenta de newsletter ou o sistema de notas fiscais.

DKIM

O DKIM adiciona uma assinatura digital às mensagens enviadas. O destinatário confere a assinatura com uma chave publicada no seu domínio e confirma que a mensagem não foi alterada no caminho. A maioria dos provedores de e-mail corporativo oferece a configuração no próprio painel.

DMARC

O DMARC junta SPF e DKIM e diz aos provedores o que fazer quando uma mensagem falha nas verificações: apenas observar, mandar para o spam ou rejeitar. Ele também permite receber relatórios sobre quem está enviando e-mails usando o seu domínio.

O caminho recomendado é começar só observando, ler os relatórios para descobrir todos os serviços legítimos que enviam em seu nome e, depois de ajustar o SPF e o DKIM, endurecer a política aos poucos.

Parte 3: o próprio domínio

• Renovação automática do registro do domínio, com um cartão válido e um e-mail de contato que alguém lê.
• Acesso protegido ao painel do registro e do DNS, com senha forte e verificação em duas etapas.
• Registro dos subdomínios em uso, para não deixar apontamentos esquecidos para serviços que a empresa nem usa mais.

O checklist, resumido

1. O site abre só em HTTPS, e o endereço com http redireciona.
2. O certificado é válido e se renova sozinho, com alerta em caso de falha.
3. O servidor aceita apenas versões modernas do TLS.
4. O cabeçalho HSTS está ativo.
5. Há uma CSP, e o site carrega o mínimo possível de terceiros.
6. Os cabeçalhos de segurança básicos estão configurados.
7. Plataforma, plugins e bibliotecas estão atualizados; acessos revisados.
8. Há backup fora do servidor, com restauração testada.
9. O domínio publica SPF, DKIM e DMARC.
10. O registro do domínio se renova sozinho e o painel tem verificação em duas etapas.

Conferir uma vez não basta

Configurações mudam: alguém troca de hospedagem, adiciona uma ferramenta nova, um certificado deixa de renovar. Por isso vale conferir esses itens com regularidade, e não só uma vez.

É exatamente esse o problema que motivou o Wardly, um produto que estamos construindo na ZeroOne House: ele verifica todos os dias, de forma passiva, o SSL/TLS, o HTTPS, o HSTS, a CSP, o SPF e o DMARC do domínio, e avisa em português simples quando algo sai do lugar, já com o passo a passo para corrigir.

Se preferir que alguém revise e corrija tudo isso agora, conheça o nosso serviço de infraestrutura, deploy e segurança.