Como saber se meu site é seguro (sem ser programador)

Dá para saber, sim, e sem entender de programação. Em uns 15 minutos, com o navegador e o celular, você confere o principal: se o site abre com cadeado, se o Google não o marca como perigoso, se ninguém colocou páginas estranhas nele e se as áreas fechadas pedem login. O que não aparece por fora — chaves secretas, backup, atualizações — você pergunta a quem cuida do site, com a mensagem pronta mais abaixo.

Vale para site feito por agência ou freelancer, loja virtual, WordPress, Wix, Nuvemshop ou app criado com inteligência artificial, como Lovable ou Bolt. Nenhuma verificação, nem esta, prova que um site não tem falhas, mas estes testes pegam problemas que podem passar meses sem ninguém perceber.

O que "site seguro" quer dizer na prática

"Meu site é seguro?" parece uma pergunta só, mas na prática são cinco. Um site pequeno está em boa forma quando:

• A conexão é protegida. É isso que o HTTPS, o famoso cadeado, quer dizer: o que o cliente digita no site (e-mail, telefone, cartão) viaja criptografado, ou seja, embaralhado no caminho. Sem HTTPS, o Chrome mostra "Não seguro" ao lado do endereço.
• Ninguém invadiu o site. Site invadido nem sempre sai do ar. Muitas vezes parece normal para você, mas manda visitantes para outro site ou cria páginas de spam que só o Google vê.
• Nada secreto fica à mostra. O site conversa com outros serviços — pagamento, e-mail, inteligência artificial, banco de dados — usando chaves, que funcionam como senhas. Algumas delas nunca podem ir parar no código que o navegador de cada visitante baixa.
• Cada cliente só vê os próprios dados. Pedidos e cadastros ficam atrás de login, e um cliente não consegue abrir o pedido de outro. Com a LGPD (Lei Geral de Proteção de Dados), vazamento de dados de clientes é também assunto jurídico, não só técnico.
• As contas por trás do site estão trancadas. Domínio, hospedagem, plataforma do site e o e-mail usado em tudo isso. Quem entra em uma dessas contas manda no site.

O primeiro, o segundo e o último você confere sozinho. Os outros dois dependem de quem tem acesso ao código; para eles existe a mensagem pronta mais abaixo.

O teste de 15 minutos

Use o computador e o celular, sempre no endereço real do site, não num link de pré-visualização da plataforma. Anote tudo o que parecer estranho.

1. Olhe o cadeado. Abra o site e clique no ícone à esquerda do endereço. No Chrome, o cadeado virou um ícone de ajustes, mas a função é a mesma: ao clicar, deve aparecer "A conexão é segura". Se aparecer "Não seguro" ou "Perigoso", resolva isso antes de qualquer outra coisa. O Google explica cada símbolo em Conferir se a conexão de um site é segura. Depois, digite o endereço com http:// na frente, em vez de https://: um site bem configurado leva sozinho para https://.

2. Abra como um visitante desconhecido. Use uma janela anônima: no Chrome, "Nova janela anônima"; no Safari do Mac, "Arquivo > Nova Janela com Navegação Privada". Ela não usa os seus logins salvos, então você vê o que um estranho vê. Procure pop-ups que você não colocou, anúncios ou um redirecionamento para outro site. Depois, digite o endereço das áreas que só você ou seus clientes deveriam ver, como o painel do site (no WordPress, /wp-admin) ou a página "Minha conta": tem de aparecer a tela de login, não o conteúdo. Por fim, pesquise o nome da sua empresa no Google e clique no resultado: alguns ataques só aparecem para quem chega pela busca.

3. Teste no celular, no 4G ou 5G. Desligue o Wi-Fi e abra o site. Assim você o vê fora da sua rede, como um cliente veria. Se o navegador avisar que a conexão não é particular (ou não é privada), o certificado — o arquivo que faz o cadeado funcionar — venceu ou não corresponde ao endereço.

4. Veja se o Google marca o seu site como perigoso. Cole o endereço na ferramenta de status de sites da Navegação segura do Google: ela diz se o Google considera o site perigoso hoje. Depois, pesquise site:seudominio.com.br no Google e percorra os resultados. Páginas que você nunca publicou — em japonês, de remédios, de apostas, de réplicas de marcas — são um sinal clássico de invasão. Se você usa o Google Search Console, olhe também o Relatório de problemas de segurança: é ali que o Google avisa quando encontra conteúdo invadido ou software malicioso.

5. Teste o formulário e o WhatsApp. Mande uma mensagem para você mesmo pelo formulário de contato ou de orçamento e clique no botão de WhatsApp. Veja se a mensagem chega, se não cai no spam e se o WhatsApp abre a conversa com o número certo. Formulário quebrado não é falha de segurança, mas é cliente perdido sem você saber.

6. Confira o aviso de cookies e a política de privacidade. Ainda na janela anônima, recarregue a página inicial. Aparece um aviso de cookies? Dá para recusar com a mesma facilidade de aceitar? Tem link para a política de privacidade? A LGPD pede que você informe com clareza que dados coleta e para quê. O guia de cookies da ANPD, a autoridade que fiscaliza a lei, recomenda que o aviso permita recusar os cookies não necessários e trata o consentimento como a base mais adequada para os de publicidade. Para visitantes da União Europeia, as regras costumam ser mais rígidas. Isto não é aconselhamento jurídico: na dúvida, fale com um advogado. O que dá para verificar por fora está na verificação de cookies e privacidade.

7. Tranque as contas por trás do site. Liste as contas de que o site depende — domínio, hospedagem, plataforma do site, banco de dados e o e-mail usado em todas elas — e ative em cada uma a verificação em duas etapas (um código no celular além da senha). Veja quem ainda tem acesso, inclusive ex-funcionários e a agência antiga. Confira também os vencimentos. O do certificado aparece no Chrome: clique no ícone ao lado do endereço, depois em "A conexão é segura" e em "O certificado é válido". O do domínio fica no painel do Registro.br, para domínios .br, ou no da empresa onde você o registrou. Se a renovação é no cartão, veja se o cartão cadastrado ainda vale.

Se tudo isso estiver em ordem, você descartou os problemas mais visíveis. É um bom começo, não o fim.

Sinais de que o site foi invadido

• O Chrome ou o Google mostram uma tela vermelha dizendo que o site é perigoso.
• Um cliente conta que, ao abrir o seu site, foi parar em outra página ou recebeu um pedido para baixar alguma coisa.
• Aparecem usuários administradores, páginas ou posts que ninguém da sua equipe criou.
• A hospedagem avisa de uso estranho ou suspende a conta.
• Você recebe respostas ou avisos de devolução de e-mails que não mandou. Pode ser alguém enviando mensagens em nome do seu domínio; é assim que costuma funcionar o golpe do boleto falso mandado "pela sua empresa". Dois registros do domínio, o SPF e o DMARC, dificultam isso: eles dizem quais servidores podem enviar e-mail em seu nome e o que fazer com o resto.

Se notar algum desses sinais, troque as senhas do painel do site, da hospedagem e do e-mail, ative a verificação em duas etapas onde der e avise hoje mesmo quem cuida do site ou o suporte da hospedagem. Não apague nada antes de alguém olhar: o que ficou no site ajuda a descobrir por onde entraram. Se há chance de dados de clientes terem vazado, a LGPD pode exigir que você comunique o incidente à ANPD e às pessoas afetadas, quando houver risco ou dano relevante para elas; nesse caso, converse com um advogado.

Se o problema começou logo depois de uma atualização, o caminho é outro: veja o que fazer quando o site para depois de atualizar.

A mensagem pronta para quem cuida do site (ou para a IA)

Algumas coisas só quem tem acesso ao código, à hospedagem ou ao banco de dados consegue conferir: se há chaves secretas no código público, se um cliente consegue ver os dados de outro, se existe backup e se está tudo atualizado. Se uma pessoa ou agência cuida do seu site, mande esta mensagem. Se você fez o site sozinho com uma ferramenta de IA (Lovable, Bolt, Cursor, Replit), cole na própria ferramenta. As perguntas pedem sim ou não, para você entender a resposta.

Este é o meu site: [seudominio.com.br]. Não sou da área técnica.
Confira os itens abaixo e responda cada um em linguagem simples:
sim ou não, mais uma frase. Não mude nada ainda; primeiro me
diga o que encontrou.

1. Todas as páginas abrem em HTTPS, e http:// redireciona
   para https://? O certificado renova sozinho?
2. Existe alguma chave secreta (de pagamento, e-mail, IA,
   banco de dados) no código que roda no navegador do
   visitante? Se existir, qual e onde?
3. Um visitante sem login, ou um cliente, consegue ver dados
   de outra pessoa, por exemplo mudando um número no endereço?
   Como você testou?
4. Plataforma, plugins, tema e bibliotecas estão atualizados?
   Quais não estão?
5. Existe backup do site e dos dados? Alguém já testou restaurar?
6. A verificação em duas etapas está ativada no domínio, na
   hospedagem, no banco de dados e no painel do site? Tem
   conta de acesso que ninguém usa mais?
7. Quais cabeçalhos de segurança o servidor envia e quais
   faltam? O domínio tem SPF e DMARC?
8. O domínio renova sozinho? Quando vence?

No fim, diga o que é urgente e o que pode esperar.

Os cabeçalhos de segurança do item 7 são instruções curtas que o servidor manda junto com cada página, dizendo ao navegador o que bloquear — por exemplo, "não deixe outro site me mostrar dentro dele". Você não precisa entender os detalhes; basta alguém confirmar que estão lá.

O que resolver primeiro

Se apareceram vários problemas, esta é uma ordem sensata, do que custa clientes ou dinheiro hoje ao que pode ficar para este mês:

• Tela de aviso ou "Não seguro". O visitante vê isso antes de ver a sua empresa.
• Chave secreta no código público. Qualquer pessoa pode copiá-la e gerar cobranças na sua conta ou ler dados com ela. A chave precisa ser trocada, não só escondida.
• Dados de clientes visíveis para quem não devia. Isso pode virar um incidente que você tem de comunicar.
• Contas sem verificação em duas etapas. Uma senha vazada basta para perder o site.
• Cabeçalhos de segurança e configurações de cookies. Em geral é uma mudança rápida de configuração que fecha a porta para tipos inteiros de ataque.

Ao pedir uma correção, pergunte também como conferir que ela funcionou. Uma correção só está feita quando você refaz o teste e ele passa, não quando alguém (ou a IA) diz que resolveu.

Para não ter de repetir tudo à mão

Um teste como este é uma foto do momento: a próxima atualização, um plugin novo ou mais um pedido para a sua ferramenta de IA podem desfazer uma correção sem ninguém perceber.

O ScanYourSite faz por você a parte desta lista que dá para ver de fora. A verificação grátis não pede cadastro e leva cerca de um minuto: digite o endereço ou abra https://scanyoursite.app/pt?check=seudominio.com.br com o seu domínio no lugar. O link só preenche o campo; a verificação começa quando você clica no botão. Ela olha o site como um navegador olharia: não faz login, não envia formulários e não testa senhas. Confere:

• HTTPS, certificado e data de vencimento, e partes da página carregadas sem criptografia;
• cabeçalhos de segurança que faltam e configurações dos cookies;
• chaves secretas no código JavaScript que vai para cada visitante;
• SPF e DMARC, a proteção contra e-mails falsos em nome do seu domínio;
• o vencimento do domínio, quando o registro publica a data (o .br e o .com publicam; alguns outros, não);
• rastreadores de análise ou de anúncios rodando sem nenhuma ferramenta de consentimento reconhecida, e a falta de link para a política de privacidade;
• erros ao abrir a página num navegador de verdade, e o título e a descrição que aparecem no Google.

Ela não clica no seu aviso de cookies: se "recusar" desliga mesmo os rastreadores, só o teste do passo 6 mostra.

Na versão grátis, os três problemas mais importantes vêm explicados em palavras simples, com a correção e uma mensagem para colar na sua ferramenta de IA; o Pro explica todos. A conta grátis acompanha um site: uma verificação por semana, um resumo semanal por e-mail e um aviso antes de o certificado vencer. O Pro (US$ 19 por mês, três sites) verifica todo dia, confere a cada cinco minutos se o site está no ar, revisa cada nova versão minutos depois de publicada (o site ainda abre? alguma chave vazou?) e avisa na hora quando algo novo dá errado. Depois que você comprova que o domínio é seu, o Pro também procura arquivos que nunca deveriam estar públicos, como o .env (onde ficam configurações secretas) e a pasta .git, e confere se um estranho conseguiria ler as tabelas do seu banco de dados no Supabase, contando as linhas sem ler o conteúdo.

Nada disso substitui uma auditoria de segurança profissional se o site processa pagamentos por conta própria ou guarda dados sensíveis, como informações de saúde. Para todo o resto, é a diferença entre saber de um problema por uma verificação ou por um cliente.