How to know if your website is secure (10-minute checklist)
Seven checks that any website owner can perform today, without installing anything, and what each result means in practice.
1. Does the padlock appear on the entire website?
Open the address without https:// and check if it automatically redirects to the secure version. If the page opens in HTTP, anyone on the same network (airport, hotel, or coffee shop Wi-Fi) can read what the visitor types. A 301 redirect and the HSTS header solve this once and for all and are configured on the server.
2. Is the certificate in the correct name?
Clique no cadeado e confira se o domínio listado é exatamente o seu, incluindo o www quando usado. Certificate vencido ou emitido para outro nome faz o navegador mostrar aviso vermelho — e o visitante vai embora sem comprar.
3. Is there an accessible .env or .git file?
Type your website address followed by /.env and /.git/config. If any content appears, the problem is serious: the .env usually stores database passwords and API keys, and the .git exposes the entire source code. The fix is to remove the file from the public directory or block it via a server rule.
4. Os headers de segurança estão ligados?
HSTS, Content-Security-Policy, X-Frame-Options e X-Content-Type-Options são instruções que o servidor manda ao navegador. Sem CSP, uma injeção de script na sua página pode roubar a session do cliente; sem X-Frame-Options, outro site pode colocar o seu dentro de um iframe invisível e capturar cliques.
5. Is the domain email spoofable?
Se o seu domínio recebe email e não tem SPF nem DMARC publicados, qualquer pessoa consegue enviar mensagem "em nome da sua empresa". Golpes de cobrança e de nota fiscal falsa começam exatamente assim, e o prejuízo vai para a sua marca.
6. Is there a database open on the internet?
MySQL (3306), PostgreSQL (5432), MongoDB (27017) e Redis (6379) nunca devem responder fora do servidor. One teste rápido de porta revela isso; a correção é firewall ou bind em localhost.
7. Do you know what has changed since yesterday?
Security não é foto, é filme. One site seguro hoje pode ficar exposto amanhã porque alguém publicou um backup, renovou um certificado errado ou desactiveu uma regra. Sem monitoramento com histórico, o dono só descobre o problema quando o cliente reclama.
If any of the above failed, the next step is to document and fix — and then repeat the check to prove it went live. That is what CyberGuard AI does in minutes: it evaluates, shows the evidence, points out the fix, and saves the before and after.