API e segurança

Configuração de segurança web

Configurar a segurança de uma aplicação web passa por vários cabeçalhos que são fáceis de escrever errado sem uma referência clara. O Gerador de cabeçalhos de segurança monta o conjunto de headers explicando cada diretiva, e o Gerador de CSP edita as diretivas de Content-Security-Policy testando uma URL de recurso contra elas, com um modo Report-Only para validar sem bloquear nada em produção ainda.

Complementando esses headers, o Gerador de Hash SRI cria hashes de integridade de subrecurso com suporte a vários algoritmos para scripts e estilos carregados de terceiros. A analisador de cookies confere atributos, datas e escopos de valores Set-Cookie ou Cookie, e o Decodificador de JWT mostra header, payload e signature de um token sem validar a assinatura, útil ao investigar um problema de sessão.

5 ferramentas

Todas as ferramentas de Web Security Config

Perguntas frequentes sobre ferramentas de Web Security Config

Como testar uma política de CSP sem quebrar o site em produção?

O Gerador de CSP tem um modo Report-Only, que reporta violações das diretivas sem realmente bloquear o recurso, permitindo testar uma URL contra a política antes de aplicar a versão que bloqueia de verdade, quando já tiver confiança de que nada legítimo será barrado.

Quais cabeçalhos de segurança HTTP toda aplicação deveria ter?

O Gerador de cabeçalhos de segurança monta o conjunto completo, como Content-Security-Policy, Strict-Transport-Security e X-Content-Type-Options, e explica o que cada diretiva faz, o que ajuda a decidir quais headers realmente se aplicam ao seu projeto antes de copiar uma lista genérica da internet.

Como gerar um hash de integridade de subrecurso (SRI) para um script externo?

O Gerador de Hash SRI gera o hash a partir do conteúdo do arquivo com suporte a vários algoritmos, e esse valor vai no atributo integrity da tag script ou link, garantindo que o navegador rejeite o recurso se o conteúdo carregado do terceiro for alterado.