Obrigado pela análise. Concordamos com o risco de interpretar a nota como um veredito de "site seguro": ela resume apenas a configuração pública observada, não a segurança da aplicação nem a ausência de vulnerabilidades.

Os pesos são uma escolha de metodologia, não uma medida objetiva de risco. Estão documentados em https://getmirror.online/methodology (por exemplo, DMARC: 15; Permissions-Policy: 2). Verificações inconclusivas ficam fora do cálculo, com a cobertura visível. A separação entre evidência, incerteza e ação é justamente o ponto que queremos preservar.