Website Security Check: verifique a segurança do seu site

A ferramenta acessa sua página uma vez, como um visitante comum (seguindo redirecionamentos de forma limitada), e lê o que o servidor divulga: os cabeçalhos Server e X-Powered-By, o gerador do CMS no HTML, seis cabeçalhos de segurança, os atributos dos cookies, o certificado TLS, versões antigas do TLS, o redirecionamento para HTTPS e os registros SPF, DMARC e DKIM do domínio. Ela compara as versões detectadas com os dados de lançamento do endoflife.date e alertas de segurança atuais. No exemplo fictício, example.com informa a versão PHP 8.2.28, provavelmente está afetado e recebe a nota F.

Não, de propósito. Um scanner de vulnerabilidades ataca ativamente uma página, por exemplo, enviando requisições de teste para vários caminhos. Isso não é apropriado em servidores de terceiros nem em uma ferramenta pública. A verificação é passiva: não tenta ataques nem examina outros caminhos e mostra onde sua página parece vulnerável externamente. Para obter uma resposta confiável, use o autoteste no seu servidor.

Cada verificação começa com 100 pontos e desconta pontos ponderados por problema: um alerta de segurança atual ou um certificado inválido causa uma grande penalidade; a ausência de cabeçalhos de segurança desconta, no máximo, 8 pontos ao todo. A partir de 90 pontos, a nota é A; de 80, B; de 70, C; de 60, D; de 50, E; abaixo disso, F. Se um alerta de segurança atual afetar a versão detectada, a nota máxima é D; se o software do servidor estiver sem suporte, a nota máxima é C. O que não é visível externamente não causa penalidade, por isso nem mesmo uma nota A comprova que o servidor é seguro.

Externamente, você só vê o que o servidor divulga. Se ele não informar a versão, a avaliação será “não detectável”: ocultá-la é bom, mas não revela se as correções foram aplicadas. Além disso, uma versão com numeração antiga pode já ter sido corrigida, pois Debian, Ubuntu e outras distribuições aplicam correções de segurança por backport sem alterar o número da versão. Por isso, a avaliação pode ser “provavelmente afetado”, “não detectável” ou “corrigido”, mas nunca “seguro”.

Confira no servidor com php -v. Para requisições web, porém, vale a versão do PHP-FPM ou do Apache, não apenas a da linha de comando. O comando do autoteste mostra todas as instalações de PHP encontradas, suas versões e as configurações relevantes. Externamente, alguns servidores informam a versão no cabeçalho X-Powered-By; você pode desativar isso com expose_php=Off.

Você executa um comando curto e somente de leitura no seu servidor e cola a saída na ferramenta. O comando não inicia programas; apenas lê o banco de dados de pacotes e arquivos de configuração: sistema operacional e kernel, versões dos pacotes de PHP, nginx, Apache, OpenSSL, MySQL, MariaDB, PostgreSQL, Redis e Node.js, atualizações pendentes no cache local do gerenciador de pacotes, necessidade de reinicialização, valores relevantes do php.ini e menções às correções nos changelogs dos pacotes. A análise ocorre no seu navegador: a saída não é enviada nem armazenada. Assim, você também pode verificar servidores internos e avaliar correções por backport da distribuição.

Duas vulnerabilidades críticas no PHP sobre as quais o BSI alertou em 21.10.2026. Segundo o alerta, versões mais antigas, até pelo menos o PHP 5, também são afetadas. As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35; para 7.4, 8.0 e 8.1, a equipe do PHP disponibilizou patches por backport. Como medidas temporárias, o BSI recomenda session.upload_progress.enabled=0, memory_limit=-1, um valor baixo para post_max_size e, no PHP 8.5, fatal_error_backtraces=0. Essas medidas apenas dificultam um ataque; não substituem a atualização.

Não. O Website Security Check é voltado a proprietários de sites e administradores e avalia versões de software, cabeçalhos de segurança, TLS e registros de e-mail de um site. Ele não verifica se uma loja é confiável, se um site pratica phishing ou distribui malware.

A verificação é gratuita e não exige login. Para evitar sobrecarregar servidores com requisições, são permitidas no máximo 10 verificações por minuto por endereço IP e 30 por minuto por host verificado. Os resultados ficam em cache por cerca de 10 minutos. A verificação não acessa endereços IP privados, localhost nem URLs com credenciais; para servidores internos, use o autoteste.