Cabeçalhos HTTP

Verificador de HSTS online grátis

Teste se seu site envia o cabeçalho Strict-Transport-Security com max-age adequado.

O HSTS obriga o navegador a usar sempre HTTPS no seu domínio, mesmo que o visitante digite http://.

Por que isso importa

Sem HSTS, um atacante em uma rede Wi-Fi pública pode rebaixar a conexão para HTTP e interceptar senhas e cookies.

Como corrigir

Envie Strict-Transport-Security: max-age=31536000; includeSubDomains em todas as respostas HTTPS.

Perguntas frequentes

Qual max-age é recomendado?

Pelo menos 6 meses (15552000 segundos); o ideal é 1 ano.

HSTS deixa o site lento?

Não. É apenas um cabeçalho e até evita um redirecionamento extra.

Outras ferramentas gratuitas

• Verificador de Content-Security-Policy (CSP)
• Teste de proteção contra clickjacking
• Verificador de X-Content-Type-Options
• Verificador de Referrer-Policy
• Verificador de SSL/HTTPS
• Auditoria de cookies seguros
• Analisador de cabeçalhos de segurança
• Validador de DMARC
• Verificador de SPF
• Verificador de DKIM
• Como evitar e-mails falsos com seu domínio
• Verificador de pasta .git exposta
• Teste de arquivo .env exposto
• Scanner de APIs expostas (Swagger, GraphQL, OpenAPI)
• Verificador de vazamento de versão do servidor
• Descobrir subdomínios de um site
• Scanner de segurança para WordPress
• Auditoria de segurança para WooCommerce
• Checklist de segurança para loja virtual
• Análise de segurança para sistemas Laravel e PHP
• Auditoria de segurança para site de empresa
• Checklist técnico de segurança para a LGPD
• Como saber se meu site foi invadido
• Como resolver o aviso "Não seguro" no Chrome
• Teste de segurança de site grátis
• Verificador de site falso online grátis
• Como saber se uma loja virtual é confiável
• Como saber se uma loja do Instagram é golpe
• Loja que só aceita Pix é golpe?
• Como saber a idade de um site ou domínio
• Verificar link suspeito antes de clicar
• Link recebido no WhatsApp é golpe?
• Descobrir para onde vai um link encurtado
• Como identificar site falso de banco
• Mensagem dos Correios com taxa é golpe?
• Site de valores a receber é golpe?
• Site falso de IPVA e Detran
• Golpe da vaga de emprego e tarefas pagas
• Como saber se um site de leilão é verdadeiro
• Site que imita marca famosa (typosquatting)
• Caí no golpe do Pix: como pedir devolução pelo MED
• Como saber se um vídeo é golpe
• Jogo do Tigrinho é golpe?
• Robô de sinais e grupo VIP de apostas funciona?
• Vídeo de famoso anunciando dinheiro é deepfake?
• Como denunciar vídeo de golpe no YouTube e TikTok
• Vídeo prometendo renda extra fácil é golpe?
• Link na descrição do vídeo é seguro?
• Como saber se meu site foi clonado
• Detector de typosquatting online grátis
• Como descobrir domínios parecidos com a minha marca
• Como derrubar site falso ou clonado
• Como denunciar site clonado no Registro.br
• Proteção de marca contra clones digitais
• Estão clonando minha loja virtual: o que fazer
• O que é combosquatting
• Como descobrir quem registrou um domínio falso
• Notificação extrajudicial para site falso
• Denunciar site clonado no Google Safe Browsing
• Ataque de homóglifos em domínios
• Como proteger minha marca na internet
• Como saber se criaram um site falso da minha empresa
• Quais domínios comprar para proteger sua marca
• Golpe da 2ª via de boleto com site clone
• Como remover site falso do Google
• Boletim de ocorrência de site clonado
• Monitoramento de marca e domínios online
• SACI-Adm: como retomar domínio .br de má-fé
• Domínio com hífen ou -atendimento é confiável?
• Como alertar clientes sobre sites falsos