Os 16 exames de segurança que o Vigil faz, explicados em português

Quando alguém diz que faz 16 exames de segurança, soa a checklist de TI. Mas cada exame responde a uma pergunta bem concreta sobre o seu site, e todos se encaixam nas categorias do OWASP, a referência mundial de risco em aplicações web. Aqui está a tradução, sem jargão.

A02: a comunicação está protegida?

• Certificado e TLS: o cadeado do navegador é válido, atual e bem configurado. Certificado vencido ou fraco deixa a conexão grampeável.
• Conteúdo misto: a página segura (https) não pode carregar pedaços inseguros (http) por dentro. Mistura quebra a proteção do cadeado.
• Chave vazada: senha de banco ou de API escrita no código que vai pro navegador. É a falha que mais aparece em app feito com IA.

A05: a configuração está caprichada?

• Headers de proteção: instruções que o site manda pro navegador pra se defender. Faltando, sobra brecha.
• Clickjacking: sem o header certo, dá pra embutir seu site invisível dentro de outro e enganar quem clica.
• CORS: a regra de quem pode chamar a sua API de outro site. Aberta demais, qualquer um consome seus dados.
• Cookies: precisam vir com as marcações de seguro e protegido, senão podem ser roubados ou lidos por terceiros.

A05 / A08: tem arquivo aberto que devia estar trancado?

• Arquivos sensíveis (.env, .git): o .env guarda senhas; a pasta .git guarda todo o histórico do código. Expostos, entregam o reino.
• Source map exposto: o mapa que reconstrói seu código original a partir do site. Ótimo pra depurar, péssimo se ficar público.
• Banco aberto: o banco de dados sem trava de acesso, lendo e escrevendo pra quem chegar.

A07: dá pra fingir que é você?

• SPF e DMARC: as travas que impedem alguém de mandar e-mail fingindo ser do seu domínio. Sem elas, golpista usa o seu nome.

E o A06?

A06 é sobre componentes desatualizados: biblioteca antiga e cheia de furo conhecido rodando no seu site. O exame sinaliza versões expostas que já têm falha pública documentada.

Cada um desses parece pequeno isolado. Juntos, são o mapa de portas do seu site. O raio-X confere todas de uma vez e te diz quais estão abertas. Cole o endereço e veja o seu mapa, de graça.