Antes de contratar qualquer serviço de segurança, faz sentido saber o que está exposto. A ferramenta de diagnóstico gratuito da LDL Security analisa seu domínio em poucos minutos e entrega um relatório com os principais riscos visíveis de fora.
O Que a Ferramenta Analisa?
O diagnóstico verifica mais de 30 pontos técnicos, incluindo:
- SSL/TLS: se o certificado é válido, qual versão do protocolo está em uso e se há HSTS configurado
- DNS e e-mail: SPF, DKIM e DMARC, os três registros que protegem seu domínio de phishing
- Headers HTTP: Content-Security-Policy, X-Frame-Options, Referrer-Policy e outros
- Arquivos expostos: se arquivos sensíveis como
.env,.gitou backups estão acessíveis - Subdomínios: enumeração de subdomínios que podem representar superfície de ataque
- Blacklists: se seu domínio aparece em listas de reputação negativa
- WAF/CDN: detecção de proteções de camada 7 em uso
Como Usar
Acesse ldlsecurity.com/teste-seguranca, digite seu domínio e clique em analisar. O resultado costuma sair em segundos.
Ao final, você recebe:
- Um score geral de segurança
- Uma lista de pontos de atenção ordenados por severidade
- Contexto sobre cada problema encontrado
- A opção de baixar o relatório em PDF
Como Interpretar os Resultados
Crítico: requer ação imediata. São problemas como arquivos sensíveis expostos ou certificado SSL inválido.
Alto: configurações ausentes que aumentam significativamente o risco.
Médio: melhorias recomendadas que reduzem a superfície de ataque.
Baixo: ajustes de boa prática, sem impacto imediato.
O Que Fazer com os Achados Mais Comuns
Arquivo .env ou pasta .git acessível
É o achado mais urgente. O .env costuma guardar senhas de banco de dados e chaves de API, e uma pasta .git exposta pode permitir baixar o código-fonte inteiro. Bloqueie o acesso no servidor e, em seguida, troque todas as senhas e chaves que estavam ali: se ficaram expostas, assuma que alguém já copiou.
SPF ou DMARC ausente
Qualquer pessoa consegue mandar e-mail usando o seu domínio. O caminho para corrigir, passo a passo, está em SPF, DKIM e DMARC.
Headers de segurança ausentes
Cabeçalhos como HSTS, Content-Security-Policy e X-Frame-Options instruem o navegador a recusar conexões sem HTTPS, scripts de origem desconhecida e a exibição do site dentro de páginas de terceiros. São configurados no servidor ou na CDN e, na maioria dos casos, a correção é simples.
Subdomínios esquecidos
A lista de subdomínios vem, em boa parte, dos registros públicos de certificados digitais, que qualquer pessoa consulta. Ambientes de teste, sistemas antigos e painéis administrativos aparecem ali. Revise cada um: o que não é mais usado deve sair do ar, e o que continua precisa estar atualizado.
Domínio em blacklist
Em geral é sinal de que o servidor ou o e-mail do domínio foi usado para enviar spam ou hospedar conteúdo malicioso. Investigue antes de pedir a remoção da lista, ou o problema volta. Os sinais de invasão estão em como saber se meu site foi hackeado.
O Que a Ferramenta Não Vê
Como trabalha só com o que é público, o diagnóstico tem pontos cegos por definição. Ele não enxerga:
- O que fica atrás do login: área do cliente, painel administrativo, permissões entre usuários. É onde estão as falhas de autorização, como um cliente ver o pedido de outro.
- APIs e aplicativos: os endpoints que o seu aplicativo ou o seu sistema chamam por trás da tela. O pentest de API cobre essa camada.
- Lógica de negócio: cupom usado infinitas vezes, preço alterado no carrinho, etapa de aprovação pulada. Nada disso aparece numa varredura de configuração.
- A rede interna: servidores, estações e o Active Directory, que só são avaliados num pentest de infraestrutura.
- As pessoas: phishing, engenharia social e senhas reaproveitadas não aparecem em nenhum registro de DNS.
Um resultado limpo no diagnóstico quer dizer que a camada pública está bem configurada, o que já é bastante. Não quer dizer que a aplicação está segura.
O Diagnóstico Substitui um Pentest?
Não. O diagnóstico automatizado verifica configurações técnicas públicas, o que qualquer atacante conseguiria ver sem fazer login. Um pentest vai além: testa a lógica da aplicação, a autenticação e a autorização e realiza ataques ativos com um profissional especializado.
O diagnóstico é o ponto de partida. Se você encontrar problemas críticos ou altos, vale a conversa sobre um pentest completo.
Perguntas Frequentes
Posso testar um domínio que não é meu?
A ferramenta só lê informações públicas, mas o uso indicado é avaliar domínios da sua empresa ou de quem autorizou a análise. Para avaliar um fornecedor, combine com ele antes.
De quanto em quanto tempo vale repetir o diagnóstico?
Repita depois de cada mudança relevante no site, no servidor ou no e-mail, e pelo menos uma vez por mês. Certificados vencem, cabeçalhos somem em migrações e subdomínios novos aparecem sem que ninguém avise a segurança.