Metodologia e limites
Esta página explica o que verificamos, como decidimos e o que fica de fora. Ela vale para todos os certificados e muda apenas com nova versão publicada.
O que é verificado
As verificações observam o site de fora, como um visitante faria, apenas nos endereços cujo controle foi comprovado pelo responsável.
- HTTPS e certificado
- Cadeia do certificado, nome, validade e redirecionamento de HTTP para HTTPS.
- Reputação
- Consulta a fontes de endereços maliciosos e de golpe. Não constar numa lista não significa ausência universal de ameaças.
- Conteúdo externo
- HTML e scripts públicos de uma amostra de páginas, redirecionamentos, frames e links. Indícios sem confirmação não são tratados como infecção.
- Cabeçalhos de segurança
- Política de conteúdo (CSP), HSTS, proteção contra enquadramento, tipo de conteúdo e política de referência, avaliados no contexto.
- Conteúdo misto
- Recursos carregados sem HTTPS em páginas seguras da amostra.
- Cookies
- Atributos Secure, HttpOnly e SameSite dos cookies visíveis. O valor dos cookies nunca é guardado.
- Formulários públicos
- Método e destino. Nenhum formulário é enviado.
- Tecnologias expostas
- Sistemas e bibliotecas identificáveis publicamente, relacionados a avisos oficiais. Versões deduzidas são marcadas como hipótese.
- DNS e e-mail
- SPF e DMARC, e DKIM quando o seletor é conhecido. Diagnóstico complementar, fora da decisão de emissão.
- Disponibilidade
- Resposta do site no momento de cada verificação. Não é monitoramento contínuo.
Como a nota é calculada
- A nota vai de 0 a 100 e sai de regras com pesos por controle e gravidade. O mesmo problema repetido em várias páginas não derruba a nota várias vezes.
- A cobertura aparece separada: quantos controles aplicáveis foram concluídos. Controle não verificado não conta como aprovado.
- A nota do nível básico e a do nível ampliado são rotuladas e não se comparam diretamente.
Quando o certificado é emitido
- Domínio comprovado e dentro do prazo.
- Todos os controles obrigatórios do nível concluídos.
- Nota mínima de 80.
- Nenhum impedimento: HTTPS inválido, malware ou golpe confirmados por fonte confiável, falha crítica confirmada ou suspensão por uso indevido.
A aprovação vale até 8 dias depois da coleta que a sustentou. Sem nova verificação válida nesse prazo, o selo passa a mostrar "Verificação desatualizada". Um problema crítico novo suspende a aprovação antes do vencimento. Pagamento não altera nenhuma dessas regras.
O que uma verificação externa não vê
Arquivos internos do servidor, banco de dados, páginas que exigem login, painel administrativo e códigos que só aparecem para alguns visitantes ficam fora do alcance. Por isso o certificado não é garantia absoluta de segurança, não é teste de invasão completo e não substitui firewall, antivírus de servidor ou auditoria interna.
Como acessamos o site
Os acessos se identificam como SeloSiteSeguroBot, com no máximo uma requisição por segundo e duas simultâneas, respeitando pedidos de pausa do servidor. Saiba mais na página do robô de verificação.