Guia de utilização
O que é
Cola a saída de curl -I https://o-teu-site, ou os cabeçalhos de resposta que as ferramentas de rede do navegador copiam, e diz o que falta ou está mal: CSP (também se estiver só em modo relatório ou confiar numa lista de domínios), HSTS, as flags e os prefixos dos cookies (Secure, HttpOnly, SameSite, __Host-), CORS, COOP, Permissions-Policy e o resto dos cabeçalhos de segurança habituais.
A nota
A letra resulta SÓ de quantos achados há de cada gravidade, para que a possas refazer olhando para a lista: F com algo crítico, D com 3 ou mais altos, C com 1 ou 2 altos, B com 4 ou mais avisos, A com 1 a 3 e A+ sem nenhum (os «info» não contam). O Mozilla Observatory dá outra letra subtraindo pontos por teste, e a sua própria documentação reconhece que esses pesos são arbitrários; aqui não há pesos a justificar.
Para gerares os teus próprios cabeçalhos
Esta tool AUDITA o que um site já está a enviar. Se quiseres a configuração de nginx ou Apache para o teu próprio projeto, usa a tool de configuração SPA.
Como sabe se é HTTPS?
Os cabeçalhos de resposta não repetem o esquema do pedido. Se colares a linha de comando (curl -I https://…) ou só o URL, é detetado a partir daí; se não houver nenhuma pista, assume-se HTTPS (o caso real mais comum) — e podes corrigi-lo à mão com o interruptor.
