nexo Pouca coisa para atacar
A maioria das invasões acontece por um painel de login fraco, um banco de dados exposto ou um plugin desatualizado. Este site não tem nenhum dos três: as páginas são arquivos prontos, sem banco de dados, sem login, sem área administrativa na internet e sem plugins. O formulário de contato não grava nada; ele só monta uma mensagem e abre o WhatsApp.
Na prática: mesmo que alguém tente, não existe senha para adivinhar nem banco de dados para copiar.
Conexão protegida
- HTTPS em tudo, com certificado renovado automaticamente. O cadeado aparece em todas as páginas.
- HSTS: depois da primeira visita, o navegador se recusa a abrir o site sem criptografia, o que impede ataques em Wi-Fi público que tentam "rebaixar" a conexão.
- Hospedagem na Cloudflare, que tem proteção automática contra ataques de negação de serviço (DDoS) e entrega o site de um servidor perto do visitante.
Só roda o que é nosso
- Política de Segurança de Conteúdo (CSP): o navegador só executa scripts que estão no próprio site ou que têm a "impressão digital" (hash) aprovada. Um script injetado por um invasor simplesmente não roda.
- Trusted Types nas páginas principais: o navegador bloqueia a inserção de HTML por texto solto, que é a porta de entrada do ataque conhecido como XSS.
- Nenhum script de terceiros: as fontes e a biblioteca de 3D ficam hospedadas aqui mesmo, em versões fixas. Se um serviço externo fosse invadido, este site não seria afetado.
- Tudo o que vem do endereço da página (como o nome do negócio nos links personalizados) é tratado como texto, nunca como código.
Proteções no navegador
| Proteção | O que evita |
|---|---|
| Bloqueio de moldura (frame-ancestors / X-Frame-Options) | Que outro site mostre este dentro de uma moldura para enganar cliques. |
| X-Content-Type-Options: nosniff | Que um arquivo seja disfarçado de outro tipo para rodar como script. |
| Referrer-Policy | Que o endereço completo das páginas vaze para outros sites. |
| Permissions-Policy | Câmera, microfone, localização, pagamento e USB ficam desligados. |
| Cross-Origin-Opener e Resource-Policy | Que outras abas e sites leiam ou controlem esta página. |
| Links externos com noopener | Que a página aberta pelo link controle a aba do site. |
Barreira na entrada
Antes de qualquer página, um porteiro automático confere o pedido:
- só aceita leitura de páginas (GET e HEAD); tentativas de enviar ou apagar dados são recusadas;
- recusa varreduras automáticas que procuram arquivos de senha, painéis de WordPress e outros alvos comuns de robôs;
- recusa endereços longos demais ou com padrões de ataque conhecidos;
- arquivos internos do projeto nunca vão para o ar.
Seus dados
Sem cookies, sem rastreamento e sem publicidade. O que acontece com os seus dados está na Política de Privacidade.
Nos sites de clientes
Os sites que a Nexo Web entrega saem com as mesmas proteções. Quando um projeto precisa de banco de dados (como uma agenda real ou um painel do dono), cada negócio só enxerga os próprios dados, com regras de acesso no próprio banco, senhas guardadas com criptografia e cópias de segurança.
Relatar uma falha
Achou algo que parece uma falha de segurança? Conte para a gente antes de divulgar:
- WhatsApp: (48) 99109-5819
- Instagram: @nexoweb.sites
Diga o que encontrou e como reproduzir. Respondemos o mais rápido possível. Pedimos que você não acesse dados de outras pessoas, não derrube o site e não use força bruta. Quem relata de boa-fé seguindo essas regras não será tratado como invasor. O contato também está em security.txt, o padrão que pesquisadores procuram.