O Veredito em Uma Frase: Um linter de registros públicos de DNS e headers HTTP que veste uma capa de boletim escolar de A a F para assustar donos de empresas que nunca ouviram falar de CAA ou HSTS.
A Dor (Real ou Psicossomática?):
A dor é real, mas crônica e antiga. Desde a invenção do DNS e do HTTP, ferramentas como Securityheaders.com, MXToolbox, Mail-tester.com e SSL Labs já fazem exames forenses detalhados da postura pública de segurança de qualquer domínio. A lacuna que você atacou não é a falta de ferramentas, mas a falta de acessibilidade: a maioria dos relatórios técnicos é escrita por engenheiros para engenheiros, assustando o pequeno empresário com termos como "Missing Strict-Transport-Security header" sem explicar o que aquilo significa para o negócio dele. Dar nota de A a F é um ótimo gatilho de vaidade e pânico para transformar dados públicos secos em um relatório compartilhável.
O Que Surpreendentemente Funciona:
Tem prudência técnica e maturidade arquitetural aqui que salvam o projeto de ser mais um gerador de falsos positivos:
- Respeito à Inconclusividade do DKIM: Esta foi a decisão mais lúcida do pitch. Como o DKIM exige um selector customizado (ex:
google._domainkey.exemplo.com,selector1._domainkey...), ferramentas baratas que testam apenas o seletor padrão e dizem "DKIM desativado", penalizando injustamente domínios perfeitamente seguros, cometem um erro crasso. Dizer honestamente "não achei nos seletores comuns, logo está inconclusivo e fora da nota" separa profissionais de amadores. - Auditoria Passiva e Sem Contato Agressivo: Fazer apenas consultas a DNS público, Certificate Transparency e um
GETHTTP sem varredura de portas, sem testes de força bruta e sem invasão evita que o seu scanner caia em regras de WAF, seja processado por disparo de falso alarme de intrusão ou bloqueado por provedores de hospedagem. - Tradução de Evidência para Ação (Comandos e Alvos): Fornecer os comandos exatos de terminal (
dig,curl) para que o administrador valide a evidência por conta própria, junto com a indicação clara de quem deve corrigir (se é o dev, o sysadmin ou o suporte do provedor de e-mail), transforma um diagnóstico em um plano de ação real.
Onde o Castelo de Cartas Desmorona (O Que Não Funciona):
- A Maldição da Nota "A" (O Efeito Falso Positivo): Você mesmo admitiu nos limites que "uma nota A não é certificado de segurança". Mas quando você dá uma nota A para um site, o cérebro humano (e principalmente o setor de marketing ou o cliente leigo) traduz isso imediatamente como "meu site é 100% seguro contra hackers". Se o domínio recebe um belo A porque o SPF, DKIM, DMARC e HSTS estão tinindo, mas a aplicação web roda uma versão desatualizada de um CMS com uma vulnerabilidade crítica de RCE (Remote Code Execution) ou SQL Injection na API de login, o invasor vai ignorar o cabeçalho HSTS, bypassar o SPF e derrubar a empresa mesmo assim. Notas de letras em segurança cibernética geram complacência perigosa.
- A Arbitragem Subjetiva dos Pesos (O Critério de Pontuação): Como você calcula a nota de A a F? A ausência de um cabeçalho
Permissions-PolicyouX-Frame-Optionsperde quantos pontos em relação a um SPF mal configurado (~allvs-all)? Na engenharia de segurança, nem todas as falhas têm o mesmo peso de risco. Se a sua fórmula deduz a mesma quantidade de pontos por um cabeçalho menor ausente do que por uma política de DMARC em modop=none(que deixa passar phishing à vontade), a sua nota final é matematicamente arbitrária e vai gerar debates intermináveis com desenvolvedores que vão querer discutir os seus pesos em vez de consertar o DNS.
Respostas às Perguntas do Autor (Se houver):
Você perguntou para quem mantém sites: essa separação entre falha observada e verificação inconclusiva faz sentido?
- Faz todo o sentido e é obrigatória. Na engenharia de sistemas, ausência de evidência não é evidência de ausência. Tratar um teste inconclusivo (como a busca cega de seletores DKIM) como uma "falha" garante que o seu relatório perca a credibilidade técnica no primeiro dia em que um sysadmin sênior rodar a ferramenta em um domínio corporativo bem configurado e vir um "F" injusto só porque a ferramenta não adivinhou o seletor customizado dele. Manter o que é inconclusivo fora do cômputo da nota é o padrão ouro de auditoria passiva.