← Voltar para a página Vitrine

Aviso de observação de segurança: Clinique Lavigne (um exemplo fictício)

Para

Clinique Lavigne, proprietária de clinique-lavigne-exemple.ca

De

Marco Presta, Presta Software Inc.

Data

2026-11-01

Assunto

Uma verificação somente leitura de clinique-lavigne-exemple.ca em 2026-11-01: 2 médios, 3 baixos, 2 para informação

Tratamento

Para você, proprietário do site, com o seu consentimento. Não publicado nem compartilhado com mais ninguém.

Por que você está recebendo este aviso

Com o seu consentimento, fiz uma verificação somente leitura do seu site público em 2026-11-01. A minha ferramenta abriu a sua página do jeito que o navegador de um visitante faz, leu alguns arquivos padrão e não fez login, não preencheu nenhum formulário nem tentou quebrar nada. O seu site é construído no Wix, então alguns itens abaixo cabem ao Wix mudar, não a você; cada item diz a quem cabe.

O que mais importa, em ordem

• Um cookie definido pelo seu site está sem a marca “Secure” [cookie-no-secure, médio, observado] O seu site guarda um pequeno arquivo no navegador do visitante (um “cookie”) chamado XSRF-TOKEN. Ele não tem a marca “Secure”, um sinalizador que diz ao navegador para enviar esse cookie somente por uma conexão criptografada. No caso comum, não há nada para você mudar: no Wix, esse cookie normalmente é do próprio Wix, e só eles podem acrescentar a marca. Se quiser, pergunte ao suporte deles se pretendem fazer isso. Referência: RFC 6265, seção 4.1.2.5.
• As suas páginas podem ser exibidas dentro da página de outra pessoa [framing-unrestricted, médio, observado] Nenhuma instrução diz aos navegadores para recusar as suas páginas dentro de um quadro (frame) em outro site, e é assim que uma página imitadora pode mostrar a sua verdadeira página de agendamento com o nome dela. No Wix, esse cabeçalho é definido pela plataforma; cabe a ela acrescentá-lo. Se um dia você passar para um servidor próprio, o cabeçalho de uma linha X-Frame-Options ou uma regra frame-ancestors resolve isso. Referência: orientação da OWASP sobre clickjacking.

Itens de menor prioridade

• Os seus dados de contato aparecem abertamente na sua página [contact-data-printed, baixo, observado] A sua página mostra os seus dados de contato de um jeito que programas automatizados conseguem copiar: um número de telefone e um link de e-mail clicável (o observador nunca guarda o valor completo). Programas que percorrem a web coletam tudo o que aparece assim, e isso pode acabar em listas de telemarketing e de spam. Esse conteúdo é seu, então está nas suas mãos: use um formulário de contato, ou um botão que mostra o número quando tocado, em vez do número à vista. Se preferir mantê-los à vista, é uma escolha legítima. Referência: boas práticas de privacidade e antispam.
• Arquivos externos carregam na sua página sem verificação de impressão digital [thirdparty-script-no-sri, baixo, observado] Três pequenos programas na sua página são carregados de serviços externos (um widget de agendamento, uma tag de análise, um serviço de fontes) sem verificação de impressão digital; assim, se um desses serviços mudasse o seu arquivo, a sua página mudaria junto e nada do seu lado perceberia. Numa plataforma hospedada, esses arquivos normalmente pertencem ao Wix e aos seus parceiros, então não há nada para você fixar. Se você acrescentar widgets próprios, prefira os que publicam uma impressão digital. Referência: W3C Subresource Integrity.
• Não há arquivo de contato security.txt no seu site [securitytxt-missing, baixo, observado] Quem notar um problema no seu site não tem uma forma publicada de avisar você. Um arquivo de texto de uma linha em /.well-known/security.txt com um endereço de e-mail resolve isso; no Wix, pergunte ao seu designer se a plataforma consegue servi-lo e, se não conseguir, a página de contato cumpre esse papel. Referência: RFC 9116.

Para informação

• Uma janela de chat é referenciada no código da sua página [chatbot-present, info, observado] A sua página carrega um widget de chat de um serviço externo. Nada a corrigir; vale saber quem o opera e o que os visitantes digitam nele, já que esse texto vai para esse serviço, não para você.
• As conexões criptografadas usam TLS 1.2 [tls13-not-supported, info, observado] O handshake de entrada negociou TLS 1.2, e um handshake fixado em TLS 1.3 foi recusado. O TLS 1.2 ainda é aceitável; isto é para informação. Ative o TLS 1.3 na borda quando a sua plataforma oferecer. Referência: RFC 8446.

O que isto significa para você, num fôlego só

Nada aqui é urgente. Dois dos sete itens são do Wix, três são seus e baratos, dois são para informação. A única coisa a fazer este mês: os dados de contato, se você recebe ligações de spam. Depois, a linha do security.txt. A segunda leitura, depois das suas correções, diz o que mudou.

Como isto foi observado

Em palavras simples: o observador abriu a sua página do jeito que o navegador de um visitante faz, olhou alguns arquivos padrão e não fez login, não preencheu nenhum formulário nem tentou quebrar nada. Por host, apenas: a URL de entrada com os seus redirecionamentos, a forma em http simples dela, dois handshakes criptografados, quatro arquivos padrão e uma verificação opcional de source map; no máximo nove contatos ao todo. O protocolo completo está no guia passo a passo que acompanha este aviso, para que o seu técnico possa reproduzir cada linha.

Contexto

A referência ao lado de cada item é a norma que ele cita; a severidade é a classificação fixa do observador para cada regra, não uma avaliação do seu risco. Nada aqui é uma determinação de conformidade, e as suas próprias circunstâncias decidem o que importa. Este aviso é seu; guardamos uma cópia por doze meses e não a compartilhamos com ninguém.

← Voltar para a página VitrinePeça o seu olhar gratuito →