# Configurações de segurança que o seu site envia aos navegadores

Um punhado de instruções curtas que o seu site pode enviar com cada página, dizendo aos navegadores como proteger os seus visitantes.

Toda vez que um navegador carrega a sua página, o seu site envia junto algumas instruções. Elas são invisíveis para os visitantes, mas os navegadores as seguem. Algumas delas tornam os ataques muito mais difíceis.

## As configurações que importam

* **Content Security Policy** define de onde os scripts podem vir. Se um atacante conseguir encaixar um script na sua página, o navegador se recusa a executá-lo.
* **Proteção contra frames** impede que outros sites exibam as suas páginas dentro das deles, um truque usado para fazer as pessoas clicarem em botões que não veem.
* **Proteção de tipo de conteúdo** impede que o navegador adivinhe o que é um arquivo, o que poderia transformar uma imagem enviada em um script.
* **Referrer policy** controla quanto do endereço da sua página é compartilhado com outros sites quando alguém clica em um link.
* **Flags de cookies** mantêm os cookies de login fora do alcance de scripts e longe de conexões não criptografadas.

## Por que costumam estar ausentes

Nenhuma delas vem ativada por padrão. Frameworks e hospedagens deixam isso por sua conta, e um site funciona bem sem elas, então ninguém percebe até que algo dê errado.

A maioria pode ser adicionada em um único lugar, no arquivo de configuração da sua hospedagem ou do seu framework. A Content Security Policy exige mais cuidado, porque uma política rígida pode bloquear scripts de que o seu site precisa, então normalmente é adicionada aos poucos.

Uma verificação lê as configurações que o seu site realmente envia e diz quais estão faltando ou são permissivas demais.

> **Try it**
>
> Abra [as suas coisas para corrigir](/app/findings) e procure as configurações de
> navegador. Copie o prompt para a sua IA e ela pode adicioná-las para o seu
> framework.