FmindComo funciona a verificação
Uma verificação instantânea observa a página inicial pública, o TLS, o DNS público e o security.txt. Distingue os problemas confirmados dos pontos desconhecidos. Os visitantes anónimos veem uma nota e contagens; os resultados continuam privados.
Em resumo
- Visitamos a sua página inicial uma vez, como um navegador, e lemos os registos DNS públicos e o seu ficheiro de contacto de segurança. Também perguntamos à Google se considera a sua página inicial perigosa, e ao registo do seu domínio a data de renovação. Nada mais é pedido ao seu site.
- 23 verificações abrangem a ligação segura, as proteções do site, a falsificação de e-mail e as definições do domínio; 10 delas contam para a nota.
- A nota começa em 100 e perde pontos por cada problema: A a partir de 95, B a partir de 80, C a partir de 65, D a partir de 50 e, abaixo disso, F.
- O seu relatório completo só abre com uma ligação enviada para um endereço de e-mail do seu próprio domínio, ou com um registo DNS.
- Outras verificações trazem correções para a sua plataforma mas ainda não contam para a nota: a lista de sites perigosos da Google, a renovação e o bloqueio de transferência do domínio, formulários e conteúdos inseguros, bibliotecas do site e versões do WordPress com falhas conhecidas, a proteção contra incorporação oculta, uma Permissions-Policy, versões de software visíveis e a Referrer-Policy.
- As versões de software vistas na sua página inicial são comparadas com dados públicos de avisos e suporte atualizados diariamente: OSV e a GitHub Advisory Database (CC BY 4.0), o catálogo de vulnerabilidades exploradas da CISA (CC0), WordPress.org e endoflife.date. Estas consultas só nomeiam software público, nunca o seu site.
- Os planos pagos repetem a mesma verificação passiva: o Business todas as semanas mais uma vigilância diária dos sinais críticos, o Pro todos os dias. Cada passagem é a mesma visita à página inicial, com as mesmas leituras DNS e consultas à Google, no máximo uma vez por dia.
- O analista de IA funciona num ambiente isolado na Agent Platform do Google Cloud, com modelos Gemini. Lê as evidências do seu relatório e explora até 8 páginas do seu site (16 numa análise premium): pedidos só de leitura identificados como FmindCyber, limitados ao seu domínio e às páginas para as quais este tem ligações, sem início de sessão, envio de formulários nem caminhos adivinhados. Respeita as regras do seu robots.txt.
- Os alertas comparam cada execução agendada com a anterior e com os avisos de segurança publicados. Os alertas críticos são enviados de imediato, os altos no próprio dia e os médios juntos na segunda-feira de manhã, com no máximo um e-mail por domínio por dia e três por semana; cada e-mail indica quem deve agir e como verificar a correção.
Detalhes técnicos
Introduza um domínio empresarial registado. Abra o relatório privado com um e-mail desse domínio ou use a verificação por DNS.
- Introduza o seu domínio e leia a nota e as contagens por categoria.
- Abra o link de utilização única enviado por e-mail ou verifique um registo DNS.
- Reveja os seus próximos passos (até três) e, depois, a lista completa e os pontos não avaliados.
A verificação passiva pede a página inicial em HTTPS e segue no máximo dois redirecionamentos dentro do mesmo site, por exemplo para www ou para uma página de idioma. Observa o redirecionamento HTTP e a ligação TLS, e lê o DNS público e /.well-known/security.txt. O DNS inclui os registos A, AAAA, NS, MX, SPF, DMARC, seletores DKIM comuns, CAA e DNSSEC (DS). Não percorre outras páginas, não abre caixas de correio, não valida assinaturas DKIM nem verifica a cadeia DNSSEC.
As ligações a redes sociais suportadas encontradas na página inicial podem receber um pedido HEAD para verificar a resposta, com no máximo um redirecionamento que mantenha o mesmo perfil. Não é lido nenhum conteúdo de perfil. Procuramos também a ligação exata nos campos Contact do security.txt recolhido, quando esse documento é válido e atual. As páginas de contacto, a titularidade dos perfis e a segurança das contas não são verificadas; estas observações não afetam a nota.
A nota começa em 100: cada problema moderado retira 15 pontos e cada problema menor retira 5. A começa em 95, B em 80, C em 65 e D em 50; abaixo disso é F. Um certificado TLS inválido, ou um site que só funciona em HTTP não cifrado, dá F. As verificações pontuadas com resultado desconhecido limitam o resultado a B. Sem uma resposta HTTPS bem-sucedida da página inicial, não é atribuída nenhuma nota, a menos que um desses casos tenha sido observado.
O TLS, o redirecionamento HTTPS, os cabeçalhos de segurança do navegador, os cookies, o MX, o SPF e o DMARC contam para a nota. A deteção DKIM, o CAA, os sinais DNSSEC e o security.txt aparecem no relatório, mas não alteram a nota. Uma boa nota não dispensa a revisão dos pontos não avaliados.
As observações públicas são reutilizadas durante 24 horas, ou 10 minutos após um tempo limite excedido ou uma falha. Os visitantes anónimos só veem a nota e as contagens. Uma ligação por e-mail de utilização única expira ao fim de 15 minutos e prova a posse de um endereço no mesmo domínio registado. Os fornecedores de e-mail gratuito e os sufixos públicos de alojamento são recusados. A verificação DNS está disponível quando não tem uma caixa de correio no domínio.
Compreender os resultados desconhecidos
As verificações não avaliadas, falhadas ou não aplicáveis não contam como verificações de segurança bem-sucedidas. O relatório preserva a limitação e as provas disponíveis.
Um indício externo de versão não confirma uma vulnerabilidade aplicável. Um registo público não prova que a MFA é obrigatória, e uma página pública não prova que as cópias de segurança podem ser restauradas.
As verificações públicas não conseguem comprovar a entrega nas caixas de correio, a proteção SPF/DMARC efetiva, a MFA das contas, os processos internos de atualização, a recuperação de cópias de segurança nem a segurança global. Não inclui acesso a caixas de correio, e-mails de teste, testes autenticados nem exploração de vulnerabilidades.
Os resultados descrevem as verificações efetuadas. Não constituem uma certificação de segurança.