Como realizar uma auditoria de segurança de um site?

Uma auditoria de segurança web vai além da pesquisa de malware. Avalie em conjunto a superfície de ataque, as permissões dos utilizadores, as dependências, a configuração do servidor e a capacidade de resposta a incidentes.

O objetivo da auditoria não é eliminar todas as possibilidades, mas tornar os riscos visíveis e priorizá-los com base em impacto e probabilidade.

Inventário de ativos e da superfície de ataque

Liste domínios, subdomínios, painéis de administração, endpoints de API, áreas de carregamento, scripts de terceiros e integrações.

Ambientes de pré-produção esquecidos ou subdomínios antigos podem criar uma superfície de ataque inesperada.

TLS e HTTPS

Verifique a cadeia e a validade dos certificados, os redirecionamentos HTTP e o conteúdo misto.

Cabeçalhos de segurança

Content-Security-Policy
X-Content-Type-Options
Referrer-Policy
Permissions-Policy
Restrições de incorporação em frames
Adequação de HSTS

Autenticação

Uma política de senha forte, 2FA e proteção de força bruta devem ser avaliadas em contas de utilizadores administradores e críticos.

Autorização

Verifique se os utilizadores só podem executar as ações permitidas pelas suas funções. Uma autenticação bem-sucedida não dá acesso a todos os dados.

Gestão de Dependência e Patch

CMS, framework, plugin, tema e status de suporte de pacote devem ser verificados. Os componentes não utilizados devem ser removidos.

Segurança de carregamentos e dados de entrada

Verifique os tipos, tamanhos e métodos de armazenamento permitidos nas áreas de carregamento de ficheiros. Trate todos os dados introduzidos pelos utilizadores como não fiáveis.

Registos e preparação para incidentes

Registe tentativas de acesso falhadas, alterações administrativas, erros da aplicação e eventos críticos de segurança para permitir análise posterior.

Como avaliar a preparação para produção

Uma página abrir no navegador não significa que esteja pronta para produção. Defina critérios de aceitação mensuráveis para o inventário de ativos e da superfície de ataque, TLS e HTTPS e os cabeçalhos de segurança. Valores de referência de disponibilidade, tempo de resposta, taxa de erro, duração da disponibilização e percursos críticos permitem avaliar alterações posteriores. Documente as diferenças de configuração entre pré-produção e produção e limite, sempre que possível, alterações manuais diretas no sistema em produção.

Avalie a segurança e o desempenho em conjunto. Um CDN ou cache pode reduzir a carga do servidor de origem, mas uma regra incorreta pode expor conteúdo personalizado a outros utilizadores. Um WAF ou a limitação da frequência de pedidos podem reduzir a superfície de ataque, sem impedir o funcionamento de API e integrações críticas. Teste as alterações com cenários de tráfego realistas e monitorize centralmente os registos da aplicação, do proxy inverso e o estado dos serviços externos.

Plano de disponibilização e reversão

Antes de disponibilizar uma nova versão, atualizar o CMS ou alterar a infraestrutura, confirme a disponibilidade de cópias de segurança da base de dados e dos ficheiros. Prepare, se necessário, um plano de manutenção ou de redirecionamento do tráfego e defina um procedimento de reversão para versões que incluam migrações da base de dados. Após a disponibilização, não verifique apenas a página inicial: os testes básicos de funcionamento devem abranger funções críticas como início de sessão, formulários, pesquisa, API, pagamentos e captação de potenciais clientes. Esta abordagem trata a infraestrutura web como um sistema de produção operado continuamente, e não como um projeto pontual.

Lista Técnica de Verificação da Infraestrutura Web

Os ambientes de pré-produção e produção estão separados?
A disponibilização permite reversão?
Foi realizado um teste de restauração de backup?
Os registos da aplicação e do servidor web são monitorizados?
Os cabeçalhos de segurança e o TLS foram verificados?
As regras para ignorar o cache foram testadas?
São acompanhados os ciclos de vida do ambiente de execução e das dependências?
Os testes básicos de funcionamento verificam os percursos críticos dos utilizadores?

Gestão de alterações, SLO e preparação para incidentes

Avalie a qualidade técnica para além do lançamento inicial. As atualizações podem alterar dependências, CMS, ambiente de execução, cache, regras de segurança e integrações. Acompanhe as alterações através de pedidos ou registos de versões, identificando que versão entrou em produção e quando. Defina procedimentos de reversão antes das alterações críticas. Verifique, em especial, alterações relacionadas com o inventário de ativos e da superfície de ataque, TLS e HTTPS e os cabeçalhos de segurança através de métricas comparáveis antes e depois da disponibilização.

Defina objetivos operacionais mensuráveis, como objetivos de nível de serviço (SLO). A disponibilidade, o tempo de resposta P95, a taxa de erros 5xx, o sucesso de formulários ou transações críticas e os erros após disponibilizações mostram o estado real da aplicação. Um servidor acessível não basta: a página inicial pode devolver HTTP 200 enquanto falham um formulário, pagamento, pesquisa ou integração API. Complemente a monitorização técnica com verificações sintéticas ou testes básicos dos percursos críticos do negócio.

Defina antecipadamente quem deteta os incidentes, que equipa intervém primeiro e quando aplicar uma reversão. Relacionar registos, ID de pedidos, momentos de disponibilização e métricas de infraestrutura com o mesmo incidente acelera a análise da causa. Após restabelecer o serviço, registe ações técnicas ou de processo para evitar a repetição, em vez de terminar na recuperação. Assim, a infraestrutura torna-se mais resiliente ao longo do tempo.

A abordagem da B10 Digital Agency para a infraestrutura web

A B10 Digital Agency trata os projetos web como sistemas de produção, e não apenas desenvolvimento de interfaces. Segurança, desempenho, disponibilização, integração, experiência dos utilizadores e manutenção sustentável são concebidos em conjunto.

Perguntas frequentes

A auditoria de segurança é a mesma que os testes de penetração?

Não. Os testes de intrusão podem fazer parte de uma auditoria; a auditoria também abrange verificações de configuração e processos.

O HTTPS torna o site completamente seguro?

Não. O TLS é apenas uma componente importante da segurança das comunicações.

É suficiente para adicionar cabeçalhos de segurança?

Não. A segurança da aplicação, dos acessos, das dependências e do servidor deve ser tratada em conjunto.

Com que frequência deve ser realizada uma auditoria de segurança?

Consoante o risco e a frequência das alterações, podem realizar-se auditorias periódicas e após alterações significativas.

Torne a sua infraestrutura web segura e escalável

Conheça a abordagem da B10 Digital Agency para avaliar em conjunto a segurança, o desempenho, a disponibilização e as integrações do seu site.

Conheça o serviço de Desenvolvimento Web e Infraestrutura Segura →