Cabeçalhos de Segurança: São um Fator de Ranqueamento?

Os cabeçalhos de segurança HTTP são instruções que o servidor de um site envia ao navegador sobre como tratar o conteúdo de forma segura. Não são o mesmo que o certificado SSL, mas trabalham em conjunto com ele.

Este artigo explica o que são, os mais relevantes, o papel real no SEO e porque vale a pena configurá-los.

O que são

Quando um navegador pede uma página, o servidor responde com o conteúdo e também com uma série de informações técnicas (os cabeçalhos). Alguns servem para definir regras de segurança: que recursos podem ser carregados, se a página pode ser colocada dentro de outra, se o acesso deve ser sempre encriptado, entre outras.

Funcionam como uma camada de defesa: ajudam a reduzir o risco de certos ataques que exploram o navegador do visitante.

Os cabeçalhos mais relevantes

• Strict-Transport-Security: obriga o navegador a aceder ao site sempre por https, impedindo ligações sem encriptação.
• Content-Security-Policy: define de onde o navegador pode carregar scripts, imagens e outros recursos, reduzindo o risco de injeção de código malicioso. É poderoso, mas exige cuidado, porque uma regra demasiado restritiva pode impedir o funcionamento do site.
• X-Content-Type-Options: impede que o navegador interprete incorretamente o tipo de um ficheiro, um vetor de ataque comum.
• X-Frame-Options ou regras equivalentes: controla se o site pode ser mostrado dentro de uma moldura noutra página, protegendo contra certas fraudes visuais.
• Referrer-Policy: controla a informação que o navegador envia sobre a página de origem ao seguir uma ligação.
• Permissions-Policy: limita o acesso a funcionalidades do dispositivo (câmara, localização, etc.) por parte da página e de conteúdos incorporados.

O papel real no SEO

O Google não confirmou estes cabeçalhos como fator direto de posicionamento, ao contrário do https, que foi referido como sinal de qualidade. O impacto é mais indireto:

• Um site mais seguro tem menos probabilidade de ser comprometido.
• Um site comprometido (a servir malware, ou com conteúdo injetado) pode ser marcado como perigoso, perder visitantes e sofrer penalizações visíveis.
• A confiança é parte da experiência que os motores de pesquisa procuram proteger. Veja E-E-A-T e topic clusters.

Por isso, não espere ganhar posições só por ter os cabeçalhos configurados, mas considere-os parte da higiene técnica de um site sério. Para o enquadramento, veja o que é SEO.

Vale a pena configurar mesmo assim

Independentemente do efeito direto no posicionamento, estes cabeçalhos protegem o site e os visitantes contra vetores de ataque comuns, o que por si só justifica a configuração. É mais importante em sites com:

• formulários que recolhem dados pessoais;
• áreas de cliente ou de pagamento;
• muitos scripts de terceiros;
• tráfego pago, onde um problema de segurança custa visitas e reputação.

Como configurar, em termos simples

1. Veja o que já tem, com uma ferramenta online de análise de cabeçalhos.
2. Ative os mais simples (HSTS, não interpretar tipos de ficheiros, política de referência).
3. Defina com cuidado a política de segurança de conteúdo, testando antes de a aplicar, para não bloquear recursos legítimos como o Analytics ou os formulários.
4. Teste o site depois de cada alteração: formulários, vídeos, mapas, medição.
5. Reveja quando acrescentar novos serviços ou scripts de terceiros.

Dependendo do alojamento ou da plataforma, a configuração faz-se no painel, num ficheiro de configuração ou através de quem gere o site.

Erros frequentes

• Aplicar uma política de conteúdo demasiado restritiva sem testar, e partir o site.
• Não testar a medição depois das alterações. Veja Google Tag Manager.
• Confundir cabeçalhos com SSL.
• Esquecer os scripts de terceiros (chat, mapas, vídeos).
• Configurar e nunca mais rever.
• Esperar efeitos mágicos no SEO.

Segurança como parte da qualidade do site

A segurança cruza-se com outros aspetos técnicos: velocidade, funcionamento em telemóvel, atualização de plataformas e extensões, cópias de segurança. Um site descuidado nestes pontos perde confiança e visitas. Veja mobile-friendly e o impacto no SEO e erros de SEO mais comuns.

Checklist

• O site usa sempre https?
• Os cabeçalhos principais estão ativos?
• A política de conteúdo foi testada?
• Os formulários e a medição funcionam depois das alterações?
• As plataformas e extensões estão atualizadas?
• Há cópias de segurança?

---

Estes são alguns dos fatores técnicos que verificamos numa sessão estratégica, antes de recomendar onde investir primeiro.