Um scan SSL e uma verificação do Google Safe Browsing cobrem apenas uma fração da superfície de ataque real de um site. Observamos regularmente sites que exibem uma pontuação A+ em seus cabeçalhos HTTP enquanto depositam rastreadores antes do consentimento ou expõem contas compartilhadas sem rastreabilidade. Para testar a segurança de um site de forma realmente útil, é necessário ir além do simples diagnóstico técnico e integrar a conformidade regulatória, a gestão de cookies e as políticas de autenticação.
Conformidade de cookies e rastreadores: o teste que os scanners ignoram
A maioria das ferramentas gratuitas de análise de segurança se concentra no certificado TLS, nos cabeçalhos HTTP e na eventual presença do domínio em uma lista negra. Nenhuma delas verifica o comportamento real do banner de consentimento de cookies.
Esse é um ângulo morto caro. A CNIL continuou em 2025 suas sanções contra os sites que depositam rastreadores antes do consentimento, não permitem uma recusa tão simples quanto a aceitação, ou continuam a ler cookies após a retirada do consentimento. Recomendamos realizar um teste em três etapas distintas após cada produção:
- Carregar a página em navegação privada e capturar as requisições de rede antes de qualquer interação com o banner. Qualquer cookie de terceiros depositado nesse estágio constitui uma não conformidade.
- Recusar os rastreadores, continuar a navegação em várias páginas e, em seguida, verificar através das ferramentas de desenvolvedor se a recusa é realmente respeitada em todo o percurso.
- Aceitar os cookies, retirar o consentimento através do link previsto e controlar se a leitura dos rastreadores realmente cessa. Um teste limitado à página inicial não é suficiente.
Esse protocolo leva menos de dez minutos. No entanto, cobre um perímetro que os scanners automatizados não abordam, e que representa a primeira fonte de sanções da CNIL em sites da web franceses.
Antes de iniciar uma auditoria técnica clássica, é pertinente testar a segurança de um site combinando análise de vulnerabilidades e verificação do comportamento dos rastreadores.
Scan de vulnerabilidades web: o que uma ferramenta automatizada realmente detecta
Um scanner de segurança online (tipo análise dos cabeçalhos HTTP, verificação SSL/TLS, detecção de malwares via Google Safe Browsing) produz um diagnóstico útil, mas parcial. Essas ferramentas identificam as falhas conhecidas: ausência de Content-Security-Policy, versão TLS obsoleta, domínio blacklistado.
As falhas lógicas permanecem invisíveis para os scanners automatizados. Uma elevação de privilégios através de um parâmetro URL mal controlado, um formulário de contato sem proteção CSRF, ou uma API expondo dados do usuário sem autenticação não acionam nenhum alerta em um scan passivo.
Para um site de e-commerce ou uma aplicação com área do cliente, recomendamos complementar o scan automatizado com um teste manual focado em três pontos:
- Tentar acessar recursos protegidos manipulando os identificadores na URL (IDOR). Se o servidor retorna dados sem verificar a identidade do solicitante, a falha é crítica.
- Injetar cadeias de teste XSS em todos os campos de entrada visíveis. Um formulário que retorna o conteúdo sem escape HTML expõe os visitantes ao roubo de sessão.
- Verificar os cabeçalhos de resposta em cada endpoint da API, não apenas na página inicial. As políticas de segurança muitas vezes variam de uma rota para outra em um mesmo domínio.
Um relatório de scanner exibindo uma pontuação alta não garante nada se essas verificações manuais não foram realizadas.
Política de autenticação e contas compartilhadas: uma fraqueza sancionada
A CNIL relatou em seu balanço de 2025 que 14 organizações foram sancionadas por segurança insuficiente, especialmente devido a senhas muito fracas ou contas compartilhadas entre vários usuários. Essa constatação diz respeito tanto aos back-offices de sites quanto ao acesso a bancos de dados.
Testar a segurança de um site sem auditar a política de senhas é como verificar a fechadura deixando a chave sob o capacho. Ainda observamos CMS cujo conta de administrador utiliza uma senha padrão, ou equipes de marketing que compartilham um identificador único para acessar o painel analítico.
Cada acesso deve ser individual e rastreável. Uma auditoria séria verifica se o site impõe um comprimento mínimo de senha, bloqueia as tentativas após um número definido de falhas e registra as conexões com data/hora e endereço IP. Sem esses controles, a detecção de uma intrusão se torna impossível posteriormente.
Paredes de rastreadores e dark patterns: uma armadilha regulatória recente
As “cookie walls” (acesso condicionado à aceitação dos rastreadores) constituem um assunto que os guias de segurança generalistas não abordam. A CNIL esclarece que tal dispositivo não é automaticamente proibido, mas que o consentimento deve permanecer livre, informado e apresentado com escolhas equilibradas.
Na prática, um botão “Aceitar” em cor viva e um link “Recusar” em cinza claro na parte inferior da página não satisfazem essa exigência. Um teste de conformidade deve avaliar a proporção visual entre as opções, a facilidade de navegação para a recusa e a ausência de consequência punitiva (redirecionamento, conteúdo oculto) em caso de não aceitação.
Esse controle vai além do perímetro técnico habitual, mas está diretamente relacionado à proteção de dados online. Um site tecnicamente seguro que exerce pressão desproporcional sobre o consentimento de seus visitantes está exposto às mesmas sanções que um site mal protegido.
A segurança de um site web não se resume a uma pontuação exibida por um scanner. Ela se mede em três eixos simultâneos: a robustez técnica, a conformidade do tratamento de dados pessoais e a rigorosidade das políticas de acesso internas. Negligenciar um único desses eixos é como deixar uma porta aberta, não importa quão forte seja o cadeado colocado nos outros dois.
