O que um estranho descobre sobre o seu site em um minuto

Os primeiros dez segundos: o domínio

Antes de carregar uma única página, qualquer pessoa pode consultar os registros públicos do seu domínio. Dois deles mostram se o seu e-mail pode ser falsificado.

A falta de um registro de política de remetentes (SPF), ou um que termina numa regra permissiva, significa que qualquer pessoa pode enviar mensagens que parecem vir do seu endereço.

A falta de um registro de aplicação (DMARC) significa que os servidores que recebem as mensagens não têm instruções sobre o que fazer com as falsificações.

O certificado por trás do cadeado tem uma data de vencimento. Se essa data está a poucos dias, é um bom sinal de que ninguém está de olho nela.

O mesmo vale para um site que carrega com e sem www e nunca se decide por um dos dois. Isso divide a sua posição nas buscas pela metade.

Os vinte seguintes: arquivos para máquinas

Alguns arquivos pequenos ficam em endereços fixos na maioria dos sites. Os quatro arquivos para os quais ninguém faz link trata de cada um deles. Estes três são os que mais revelam:

• robots.txt lista o que os rastreadores não podem ler. Isso também faz dele uma lista do que a organização preferiria que ninguém encontrasse.
• O sitemap lista todas as páginas públicas com a data da última alteração. Qualquer pessoa pode ver com que frequência o site é realmente atualizado.
• security.txt diz aos pesquisadores de segurança com quem falar. A maioria dos sites não tem um.

Os vinte seguintes: a plataforma

Um site em WordPress mostra isso de uma dúzia de formas: os caminhos de onde as folhas de estilo são carregadas, os números de versão nelas, uma linha meta no cabeçalho da página. Nada disso é um problema por si só.

Os três seguintes podem ser. Um scanner automático verifica todos eles em menos tempo do que se leva para ler esta frase:

• A lista de usuários entrega os nomes de login da equipe. Os nomes de usuário são metade de um login explica por que isso importa.
• A interface remota antiga, xmlrpc.php, pode ainda estar ligada e respondendo a requisições.
• A biblioteca de mídia pode estar entregando pautas de reuniões do conselho e listas de doadores a qualquer pessoa que adivinhe o endereço. A sua biblioteca de mídia é pública mostra como.

Os últimos dez: a própria página

O ano de copyright no rodapé é a pista mais rápida de que alguém mantém, ou não, o site.

Os cabeçalhos da resposta mostram quais proteções de segurança o servidor envia. Normalmente, nenhuma.

As medições de velocidade e de acessibilidade da página inicial mostram como o site funciona para quem usa celular e para quem usa leitor de tela.

Depois de um minuto, alguém com más intenções conhece a sua plataforma, os nomes de login da sua equipe, o nível de manutenção do site, como o seu e-mail está configurado e onde podem estar os seus documentos privados.

Tudo isso veio de informação pública. Ninguém adivinhou uma única senha.

O que corrigir e o que aceitar

Corrija estes, nesta ordem:

• Os registros de e-mail, porque mensagens falsificadas em nome do seu domínio prejudicam outras pessoas.
• A lista de usuários e a interface remota, porque juntas transformam um site público num alvo para adivinhar senhas.
• Qualquer documento na biblioteca de mídia que nunca deveria ter sido público.
• O vencimento do certificado, colocando o nome de uma pessoa ao lado da data.

Não se preocupe em esconder que o site usa WordPress. Dá trabalho e não engana ninguém que importa.

Deixe as datas do sitemap como estão. Se elas parecem antigas, encare isso como um motivo para publicar com regularidade.

Um ano de copyright antigo significa que ninguém tem o hábito de conferir o rodapé. Atualize o ano e depois inclua essa conferência na sua rotina.

Faça a auditoria gratuita no seu site

Todas as verificações acima fazem parte da auditoria gratuita. Ela lê apenas informação pública e leva mais ou menos o mesmo minuto.

Ela cobre os registros do seu domínio, o certificado, os arquivos para máquinas, as interfaces do WordPress, a biblioteca de mídia, os cabeçalhos e as medições da página inicial. Cada apontamento é escrito em linguagem simples, com a correção ao lado.

Digite o seu domínio abaixo para ver o que um estranho vê.