Cole os headers de uma resposta HTTP e receba uma nota, os riscos e como corrigir, tudo no navegador.
Headers de segurança HTTP instruem o navegador a se proteger contra ataques comuns como XSS, clickjacking, sniffing de MIME e vazamento de referrer. Este analisador avalia HSTS, Content-Security-Policy, X-Frame-Options (ou frame-ancestors), X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy e Cross-Origin-Embedder-Policy, atribui uma nota de A a F e aponta exatamente o que falta e como corrigir. Cada header tem um peso conforme o impacto, o CSP e o HSTS pesam mais, e a nota reflete não só a presença, mas a qualidade da configuração, por exemplo, um 'unsafe-inline' ignorado pelo navegador por causa de um nonce/hash não é penalizado, e um preload sem o max-age de 1 ano exigido pela lista de pré-carregamento é sinalizado como ineficaz. Também sinaliza headers que expõem informação do servidor, como Server e X-Powered-By, e mostra o status do X-XSS-Protection apenas de forma informativa, já que esse filtro foi descontinuado pelos navegadores e não altera a nota. Importante: por decisão de segurança, a ferramenta não faz requisições, você cola os headers e a análise roda 100% no navegador.
Um header de segurança é uma ordem que o servidor envia junto com a resposta, dizendo ao navegador para reforçar uma proteção. Sozinhos, eles não corrigem uma vulnerabilidade no código, mas fecham vetores inteiros de ataque quando o navegador respeita a instrução, por isso são uma camada barata e de alto retorno.
O analisador percorre os principais headers, dá a cada um uma pontuação conforme o peso e a qualidade do valor, e converte o total numa nota de A a F. Um CSP forte vale mais pontos que um Referrer-Policy, refletindo o quanto cada controle reduz risco na prática.
Exemplo 1, HSTS bem configurado. O ideal é strict-transport-security: max-age=15552000; includeSubDomains, ou seja, ao menos 180 dias forçando HTTPS, cobrindo subdomínios e, quando possível, com preload. Um max-age curto (menos de 6 meses) ou sem includeSubDomains ainda vale pontos, mas o analisador reduz a nota porque a proteção fica parcial. Um max-age zero praticamente desliga o HSTS.
Exemplo 2, CSP enfraquecido. Uma política com 'unsafe-inline' permite scripts embutidos no HTML, que é exatamente o vetor mais comum de XSS, e um curinga (*) em script-src/default-src abre a origem dos scripts. Ambos derrubam a pontuação do CSP; o caminho recomendado é usar nonces ou hashes por script em vez de 'unsafe-inline'.
Você pega os headers no DevTools (Network › clique na requisição principal › Response Headers) ou no terminal com curl -I https://seusite.com. Além dos headers de segurança, a ferramenta destaca os que vazam informação, Server, X-Powered-By e versões de framework, que facilitam ataques direcionados e aplicam uma pequena penalidade à nota.
Dois limites importam. Primeiro, a nota mede apenas a presença e a qualidade dos headers; segurança de verdade também depende de autenticação, validação de entrada, dependências e configuração de TLS. Segundo, a ferramenta é local por decisão de projeto: se o servidor buscasse qualquer URL informada, alguém poderia apontá-la para serviços internos (ataque SSRF) e expor o IP do servidor. Colar os headers evita isso e mantém tudo no seu navegador.
Cole o código no seu HTML e a ferramenta aparece na sua página, sem a navegação e sem os anúncios do J-Kit. Ela continua rodando no navegador de quem visita o seu site.
<iframe
src="https://jkit.tools/embed/pt-BR/analisador-headers-seguranca"
width="100%"
height="600"
style="border:0"
loading="lazy"
title="Analisador de Headers de Segurança"
></iframe>Estas referências ajudam a contextualizar fórmulas, padrões, APIs e limitações usadas nesta página. Elas não substituem validação profissional quando o resultado tiver impacto jurídico, financeiro, médico ou operacional.
Por segurança. Se o servidor do J-Kit buscasse qualquer URL informada, um usuário mal-intencionado poderia apontar para serviços internos e descobrir o IP do servidor (ataque conhecido como SSRF). Para evitar isso, você cola os headers e a análise é totalmente local.
Cole os headers como vierem: no formato Nome: valor (curl -I) ou direto do DevTools, com nome e valor em linhas separadas. A linha de status e linhas em branco são ignoradas.
A ferramenta analisa os principais headers de segurança da resposta e gera uma nota com riscos e correções. Nada sai do seu navegador.
Por segurança, esta ferramenta não acessa nenhum site nem usa o servidor como intermediário, isso evitaria expor o IP do servidor e abrir brecha de SSRF. Você cola os headers e toda a análise roda localmente no navegador.