Relatório de observação de segurança: Clinique Lavigne (um exemplo fictício)

Atualizado em: 2026-11-07 10:57 EST (2026-11-07T15:57Z)

Esta é uma ilustração para clientes em potencial. A Clinique Lavigne e o site clinique-lavigne-exemple.ca não existem; cada item abaixo é uma regra real do instrumento, com a severidade e a referência que sua tabela de regras atribui em 2026-11-07, aplicada a um site inventado construído numa plataforma hospedada. Um relatório real traz o host real, a data real e o registro técnico.

Para: Clinique Lavigne, proprietária de clinique-lavigne-exemple.ca
De: Marco Presta, Presta Software Inc.
Data: 2026-11-01
Assunto: Uma análise de clinique-lavigne-exemple.ca em 2026-11-01: 1 médio, 3 baixos, 3 para sua informação
Tratamento: Para você, proprietário do site, com seu consentimento. Não publicado e não compartilhado com mais ninguém.

Por que você está recebendo isto

Com seu consentimento, analisei o seu site público em 2026-11-01, sem qualquer alteração. Minha ferramenta abriu sua página do jeito que o navegador de um visitante faz, leu alguns arquivos padrão e não fez login, não preencheu nenhum formulário nem tentou quebrar nada. Seu site é construído no Wix, então cabe ao Wix mudar alguns itens abaixo, não a você; cada item diz quais.

O que mais importa, em ordem

Um cookie definido pelo seu site está sem a marca ‘Secure’ [cookie-no-secure, médio, observado]. Seu site guarda um pequeno arquivo no navegador de um visitante (um “cookie”) chamado XSRF-TOKEN. Ele não tem a marca “Secure”, uma sinalização que diz ao navegador para enviar esse cookie somente por uma conexão criptografada. No caso usual não há nada para você mudar: no Wix, esse cookie normalmente é do próprio Wix, e só eles podem adicionar a marca. Se você quiser, pergunte ao suporte deles se planejam isso. Referência: RFC 6265 seção 4.1.2.5.

Itens de menor prioridade

Suas páginas podem ser mostradas dentro da página de outra pessoa [framing-unrestricted, baixo, observado]. Nenhuma instrução diz aos navegadores para recusar suas páginas dentro de um frame em outro site, que é como uma página de cópia pode mostrar sua página real de agendamento sob o próprio nome dela. No Wix esse cabeçalho é definido pela plataforma; cabe a ela adicioná-lo. Se um dia você migrar para seu próprio servidor, o cabeçalho de uma linha X-Frame-Options ou uma regra frame-ancestors fecha isso. Referência: RFC 7034 (X-Frame-Options); W3C CSP Level 3 frame-ancestors.
Arquivos externos carregam na sua página sem verificação de impressão digital [thirdparty-script-no-sri, baixo, observado]. Três pequenos programas na sua página são carregados de serviços externos (um widget de agendamento, uma tag de análise, um serviço de fontes) sem verificação de impressão digital, então se um desses serviços mudasse o arquivo, sua página mudaria junto e nada do seu lado perceberia. Em um construtor hospedado, esses arquivos normalmente pertencem ao Wix e aos parceiros dele, então não há nada para você fixar. Se você adicionar seus próprios widgets, prefira os que publicam uma impressão digital. Referência: W3C Subresource Integrity.
Sem arquivo de contato security.txt no seu site [securitytxt-missing, baixo, observado]. Alguém que nota um problema no seu site não tem uma forma publicada de avisar você. Um arquivo de texto de uma linha em /.well-known/security.txt com um endereço de email resolve isso; no Wix, pergunte ao seu designer se o construtor pode servi-lo e, se não puder, a página de contato faz o trabalho. Referência: RFC 9116.

Para sua informação

Seus dados de contato estão impressos abertamente na sua página [contact-data-printed, info, observado]. Sua página mostra seus dados de contato em um formato que programas automatizados podem copiar: um número de telefone e um link de clique para escrever email (o observador mantém apenas amostras mascaradas, nunca o valor completo). Programas que varrem a web coletam qualquer coisa mostrada desse jeito, e isso pode acabar em listas de chamadas de venda e spam. Isso é conteúdo seu, então está nas suas mãos: use um formulário de contato, ou um botão que mostra o número ao toque, em vez do número impresso. Se você preferir mantê-los impressos, essa é uma escolha legítima. Referência: prática de privacidade e anti-spam.
Uma janela de chat é referenciada no código da sua página [chatbot-present, info, observado]. Sua página carrega um widget de chat de um serviço externo. Nada para corrigir; vale saber quem opera isso e o que os visitantes digitam ali, já que esse texto vai para esse serviço, não para você.
Conexões criptografadas usam TLS 1.2 [tls13-not-supported, info, observado]. O handshake de entrada negociou TLS 1.2 e um handshake preso em TLS 1.3 foi recusado. TLS 1.2 ainda é aceitável; isto é para informação. Ative TLS 1.3 na borda quando sua plataforma oferecer. Referência: boa prática.

O que isto significa para você, num fôlego só

Nada aqui é urgente. Três dos sete itens são do Wix (o cookie, o frame e os arquivos externos), dois são seus e baratos (os dados de contato, a linha do security.txt), e dois são apenas para sua informação. A única coisa a fazer neste mês: os dados de contato, se você recebe chamadas de spam. Depois a linha do security.txt. A segunda revisão, depois das suas correções, diz o que mudou.

Como isto foi observado

Em linguagem simples: o observador abriu sua página do jeito que o navegador de um visitante faz, olhou alguns arquivos padrão e não fez login, não preencheu nenhum formulário nem tentou quebrar nada. Por host, apenas: a URL de entrada com seus redirecionamentos, a forma http simples dela, dois handshakes criptografados, quatro arquivos padrão e uma verificação opcional de source map; no máximo nove contatos ao todo. O protocolo completo está no guia que vem com este relatório, para que seu técnico possa reproduzir cada linha.

Contexto

A referência ao lado de cada item é o padrão que ele cita; a severidade é a classificação fixa do observador por regra, não uma avaliação do seu risco. Nada aqui é uma determinação legal, e suas próprias circunstâncias decidem o que importa. Este relatório é seu; mantemos uma cópia por doze meses e não o compartilhamos com ninguém.