Exemplo ilustrativo. A empresa, o domínio e todos os dados abaixo são fictícios. É assim que o seu relatório chega, com os seus achados, depois da conferência humana de cada um.
Hoje dá para mandar e-mail falso como sendo da sua empresa, e ele chega na caixa de entrada. É o caminho do boleto falso.
Mensagem pronta para quem cuida do seu site
Olá! Num diagnóstico de segurança vimos que dá para mandar e-mail falso em nome de @exemplo-padaria.com.br. Preciso de duas coisas no DNS: 1) o SPF terminar em -all e incluir todos os serviços que mandam e-mail por nós (Google/Microsoft, o sistema de boletos, a newsletter); 2) um registro TXT em _dmarc.exemplo-padaria.com.br com: v=DMARC1; p=quarantine; rua=mailto:dmarc@exemplo-padaria.com.br. Depois de 2 a 4 semanas sem e-mail legítimo barrado, trocar para p=reject. Registro atual: SPF: v=spf1 include:_spf.provedor-ficticio.com.br ~all · DMARC: nenhum registro em _dmarc.exemplo-padaria.com.br
Dá para mandar e-mail falso como sendo da empresa, e ele chega na caixa de entrada: SPF: v=spf1 include:_spf.provedor-ficticio.com.br ~all · DMARC: nenhum registro em _dmarc.exemplo-padaria.com.br
Corrigir este mês
AmareloSite
Quem digita o endereço sem https abre seu site sem cadeado.
Mensagem pronta para quem cuida do seu site
Olá! http://exemplo-padaria.com.br não redireciona para https:// (http:// respondeu 200 sem redirecionar para https:// (Location: -).). Configurar redirecionamento 301 na hospedagem ou CDN.
Como conferir
curl -sI http://exemplo-padaria.com.br
Detalhe técnico
Site abre sem HTTPS: dados de formulário podem trafegar sem criptografia: http:// respondeu 200 sem redirecionar para https:// (Location: -).
AmareloSite
Qualquer pessoa consegue ver os nomes de login do seu WordPress sem entrar. Quem tenta adivinhar a senha já começa sabendo o login.
Mensagem pronta para quem cuida do seu site
Olá! GET /wp-json/wp/v2/users respondeu 200 com 2 usuário(s): admin, maria-fic… Restringir /wp-json/wp/v2/users a usuários autenticados. Restringir /wp-json/wp/v2/users a usuários autenticados.
A lista de usuários do WordPress aparece sem login: GET /wp-json/wp/v2/users respondeu 200 com 2 usuário(s): admin, maria-fic…
Recomendações (não contam no placar)
Site: Ajuste de configuração que dificulta ataques, sem brecha comprovada hoje: Sem Content-Security-Policy: menos defesa contra scripts injetados (XSS). Definir uma CSP, começando em modo Content-Security-Policy-Report-Only.
Domínio: Camada extra de proteção do domínio, comum de faltar: Sem registro CAA: qualquer autoridade pode emitir certificado para o domínio. Criar CAA autorizando só a(s) autoridade(s) usada(s), ex.: 0 issue "letsencrypt.org".
O que este diagnóstico cobriu
Verificado parcialmente · E-mail: Assinatura digital dos e-mails (DKIM): só é verificável com um e-mail real seu. Mande um e-mail qualquer (e, se puder, um boleto de teste do seu sistema) para o endereço que passamos no WhatsApp e incluímos essa verificação.
Sobre este diagnóstico. É um diagnóstico por amostragem, não uma auditoria completa nem um certificado de segurança. A ausência de um achado não garante a ausência de falhas. Neste exemplo, as verificações seriam feitas com autorização do responsável pelo domínio (termo assinado) e limitadas ao escopo acordado. Recomenda-se nova verificação após as correções.
Nighteye · diagnóstico de segurança · exemplo ilustrativo, dados fictícios