Guia de segurança

Proteção do tipo de ficheiro (X-Content-Type-Options)

Sem esta definição, os navegadores podem adivinhar o tipo de ficheiro que recebem, pelo que um ficheiro enviado ou identificado por engano pode ser executado como código nos navegadores dos seus visitantes.

Quem pode ajudar

O seu programador web ou o seu fornecedor de alojamento

Inspecionar antes de alterar

Siga estes passos para um site ou domínio de e-mail que gere. Preencha os marcadores em maiúsculas com os seus próprios valores. Se um passo se referir a evidências guardadas, faça a verificação gratuita e verifique o seu domínio para abrir o relatório privado. Utilize o nome de anfitrião exato ou o nome de consulta DNS aí indicado.

Nas ferramentas de programador do navegador (separador Rede), observe X-Content-Type-Options e o Content-Type dos scripts e folhas de estilo. Peça a quem gere os ficheiros mal identificados que os corrija antes de alterar o cabeçalho.

Cabeçalho de resposta: X-Content-Type-Options
Valor esperado: nosniff
Content-Type dos scripts e folhas de estilo: VERIFY

O que fazer

Peça ao seu programador ou fornecedor de alojamento que acrescente o cabeçalho X-Content-Type-Options: nosniff, uma definição padrão de uma só linha. Antes disso, certifique-se de que os seus scripts e folhas de estilo são servidos com o tipo de ficheiro correto; caso contrário, podem deixar de carregar. Teste as suas páginas depois e guarde a configuração antiga para a poder repor.

Como verificar a alteração

Execute novamente esta verificação: este ponto deverá aparecer como «Bom». Depois, confirme que as suas páginas mantêm o aspeto e o funcionamento normais.

O que esta verificação permite estabelecer

Verificamos apenas a sua página inicial, não todos os ficheiros que o seu site serve.

Metodologia

Ler a documentação de referência

Verificar o seu site FAQ