Cabeçalhos de segurança HTTP essenciais em 2026

Cabeçalhos de segurança são “regras” que o servidor envia ao navegador para reduzir a superfície de ataque. Eles custam poucas linhas e elevam muito o nível de proteção. Aqui estão os essenciais, segundo o OWASP Secure Headers Project.

Os cabeçalhos que importam

• Strict-Transport-Security (HSTS): força HTTPS em todas as visitas futuras.
• Content-Security-Policy: controla as fontes de scripts/estilos e bloqueia XSS.
• X-Content-Type-Options: nosniff: impede o navegador de “adivinhar” o tipo do arquivo.
• X-Frame-Options / frame-ancestors: protege contra clickjacking.
• Referrer-Policy: controla quanto da URL vaza ao navegar para fora.
• Permissions-Policy: desliga APIs sensíveis (câmera, microfone, geolocalização).

Exemplo em PHP

header('Strict-Transport-Security: max-age=63072000; includeSubDomains; preload');
header('X-Content-Type-Options: nosniff');
header('X-Frame-Options: SAMEORIGIN');
header('Referrer-Policy: strict-origin-when-cross-origin');
header('Permissions-Policy: geolocation=(), microphone=(), camera=()');
header_remove('X-Powered-By');

Meça o resultado

Teste seu site em ferramentas como o securityheaders.com para ver a nota e o que falta. Para a parte mais profunda, monte uma CSP estrita e envie o HSTS só depois de garantir HTTPS em todo o site.

Perguntas frequentes

Posso enviar esses cabeçalhos pelo .htaccess?

Sim, com o mod_headers do Apache. Mas a CSP com nonce precisa ser gerada no PHP, pois muda a cada requisição.

HSTS com preload é arriscado?

Só ative o preload quando tiver certeza de que todo o site e subdomínios ficarão em HTTPS — reverter é difícil.

Para empresas que buscam agência especializada em segurança para WordPress, recomendamos avaliar nossos critérios de escolha.

Continue lendo

• Senhas seguras em PHP: password_hash, Argon2id e bcrypt
• Sessões seguras em PHP: HttpOnly, Secure e SameSite
• Upload de arquivos sem brechas em PHP