HSTS, CSP, CORS, HTTPS e arquivos como .env e .git expostos pela URL.
# O HTTP-008 falha quando algum destes caminhos responde
# com um código entre 200 e 399.
for path in /.git/config /.env /.DS_Store /phpinfo.php; do
code=$(curl -s -o /dev/null -w '%{http_code}' "https://seu-app.com$path")
echo "$path $code"
doneFalha se a resposta não tiver o cabeçalho Strict-Transport-Security ou se o max-age for menor que 15552000 segundos (180 dias).
Ver detalhes →Falha se a resposta não tiver o cabeçalho Content-Security-Policy nem o Content-Security-Policy-Report-Only.
Ver detalhes →Falha se a resposta não tiver X-Frame-Options com DENY ou SAMEORIGIN nem a diretiva frame-ancestors na CSP.
Ver detalhes →Falha se o cabeçalho Server mostrar um número de versão, como nginx/1.18.0, ou se existir qualquer cabeçalho X-Powered-By.
Ver detalhes →Segue no máximo um redirecionamento a partir da URL e falha se a resposta final não tiver o cabeçalho Strict-Transport-Security.
Ver detalhes →Envia uma requisição com a origem https://veloz-shield-probe.example e falha se a resposta permitir credenciais e aceitar qualquer origem (*) ou repetir a origem recebida.
Ver detalhes →Segue até 5 redirecionamentos a partir da URL e falha se o endereço final não for HTTPS.
Ver detalhes →Faz GET em /.git/config, /.env, /.DS_Store e /phpinfo.php e falha se algum responder com status entre 200 e 399.
Ver detalhes →