01
Entenda o alcance do preset
O padrão usa self em três recursos do navegador; privacidade troca para none. As escolhas de HSTS e CORS não são apagadas pelo preset.
- O preset não é uma nota de proteção.
Segurança na web
Gerador de cabeçalhos de segurançarascunho claro para revisar
Escolha o ponto de partida, confira cada linha e avalie os alertas antes de aplicar no servidor.
Gerador de cabeçalhos de segurança
Predefinição: Rascunho equilibrado
Referrer-Policy: Estrito entre origens
Permissions-Policy: Câmera · Mesma origem (self) / Microfone · Mesma origem (self) / Geolocalização · Mesma origem (self)
HSTS: Omitir
Exemplo CORS: Omitir
Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(self), microphone=(self), geolocation=(self)
As configurações ficam neste navegador; nenhuma solicitação é enviada ao seu domínio.
Opções
Permissions-Policy
HSTS
HSTS só funciona em respostas HTTPS. Teste prazo curto primeiro; preload exige um ano e todos os subdomínios prontos.
Exemplo CORS
Use * ou uma origem http(s) exata sem caminho. Credenciais não podem ser combinadas com *.
Explicação dos cabeçalhos
Referrer-Policy: strict-origin-when-cross-originA opção controla os detalhes Referer enviados pelo navegador.
Permissions-Policy: camera=(self), microphone=(self), geolocation=(self)Lista vazia bloqueia o recurso; self permite a mesma origem.
Alertas
Nenhum alerta neste rascunho.
2 cabeçalhos prontos · 0 alertas
Uma configuração pronta pode incluir HSTS quando subdomínios ainda não usam HTTPS. O Gerador de cabeçalhos de segurança deixa cada decisão separada para você saber de onde veio cada linha.
Estes cabeçalhos de segurança HTTP são um rascunho. A página não busca seu site, não mede uma nota de segurança e não verifica a resposta publicada.
Por que usar este Gerador de cabeçalhos de segurança
O que pode causar indisponibilidade começa desligado e continua explícito.
Políticas em blocos legíveis
O Gerador de cabeçalhos de segurança mostra Referrer-Policy e Permissions-Policy em escolhas separadas. O preset de privacidade não liga HSTS ou CORS sem seu comando.
Teste antes da configuração longa
Para configurar HSTS, o campo começa com 300 segundos, mas o header fica desligado. O exemplo CORS rejeita credenciais junto com origem *.
Três verificações antes de aproveitar o texto
02
Faça um teste progressivo
HSTS começa desligado com max-age de 300 segundos. preload exige um ano e includeSubDomains, além de inscrição separada na lista.
- Credenciais em CORS exigem origem exata, nunca *.
03
Exporte a versão atual
A geração automática espera 350 ms após a edição. Desligada, Ctrl/Cmd+Enter executa; uma mudança bloqueia cópia e download do resultado antigo.
- Exemplo e limpeza mostram prévia e permitem desfazer uma vez.
Quatro grupos de resposta sob controle
Política de referência
Quatro valores de Referrer-Policy definem quanto da URL o navegador revela em cada navegação.
Permissões por recurso
Câmera, microfone e geolocalização podem ser limitados individualmente a self ou none.
HSTS e CORS opcionais
O prazo de transporte e a origem de exemplo só aparecem quando você ativa os respectivos grupos.
O que o rascunho não decide sozinho
- Sem receita universal
- O Gerador de cabeçalhos de segurança desconhece seus scripts, certificados e subdomínios, portanto não cria CSP nem promete nota A+.
- HSTS afeta visitas futuras
- Recebido em HTTPS válido, fica lembrado pelo navegador; includeSubDomains pode bloquear hosts ainda sem HTTPS.
- CORS não autentica
- A origem de exemplo controla a leitura pelo navegador, mas não substitui autorização no servidor nem proteção CSRF.
Dúvidas sobre o Gerador de cabeçalhos de segurança
Qual valor usar se eu não tiver certeza?
Se houver dúvida, mantenha HSTS desligado e comece por um max-age curto quando o HTTPS estiver validado. O valor inicial de 300 segundos é para teste, não recomendação universal.
A ferramenta verifica se o meu site já manda esse header?
Não. O Gerador de cabeçalhos de segurança não acessa seu domínio. Inspecione a resposta real depois de configurar servidor e CDN.
Qual a diferença entre () e (self)?
Em Permissions-Policy, () bloqueia a função e (self) permite ao próprio site. Escolha por recurso, pois a lista vazia também afeta sua página.
Ainda preciso mandar Feature-Policy junto?
Não. Esta ferramenta emite Permissions-Policy e não duplica o antigo Feature-Policy. Teste o comportamento nos navegadores usados pelo público.
Quais cabeçalhos de segurança são mais importantes?
Comece pelas políticas que correspondem ao seu site e avalie HSTS com cuidado. Este rascunho cobre Referrer, permissões, HSTS e CORS, sem dar uma classificação geral.
Encontrou um problema?
Abra o Gerador de cabeçalhos de segurança
Leia o efeito de cada opção e copie somente um resultado atualizado.