Serviço Open Source da Mozilla verifica segurança em sites

A fim de ajudar webmasters a protegerem melhor seus sites e usuários, a Mozilla criou um scanner online que pode verificar se os servidores web têm as melhores configurações de segurança. Chamada de Observatory, a ferramenta foi inicialmente construída para uso interno por April King, engenheira de segurança da Mozilla, que foi, então, encorajada a expandi-la e torná-la disponível publicamente.

Ela se inspirou no SSL Server Test, da Qualy´s SSL Labs, um scanner muito apreciado que classifica a configuração SSL/TLS de um site e destaca potenciais fraquezas. Como esse scanner, o Observatory usa um sistema de pontuação de 0 a 100, com a possibilidade de pontos extras e que se traduz em graus de F até A+.

No entanto, ao contrário do SSL Server Test, que apenas verifica a implementação TLS de um site, o Observatory checa uma grande variedade de mecanismos de segurança web. Isso inclui seguranças de cookies, Cross-Origin Resource Sharing (CORS), Content Security Policy (CSP), HTTP Public Key Pinning, HTTP Strict Transport Security (HSTS), X-XSS-Protection, e outros.

A ferramenta não só verifica a presença dessas tecnologias, mas também se elas são implementadas corretamente. O que o Observatory não faz é verificar se há vulnerabilidades no código, algo que já existe em um grande número de ferramentas gratuitas e pagas.

Em alguns aspectos, alcançar uma configuração segura de site – utilizando todas as tecnologias disponíveis desenvolvidas recentemente por empresas de navegadores – é ainda mais difícil do que encontrar e solucionar vulnerabilidades de código. “Essas tecnologias estão espalhadas em dezenas de documentos padrão, e apesar de artigos individuais falarem sobre elas, não havia um lugar para os operadoras de site acessarem a fim de aprenderem sobre o que cada tecnologia faz, como implementá-la, e como são importantes.

King em um post.