Os 10 Verificam Sites Falham Mais, De 142 Auditorias Reais

Entre maio 4 e July 19, 2026, executamos cada auditoria concluída em nossos dados de produção com uma pergunta simples: quais verificações os sites falham mais frequentemente? A resposta nos surpreendeu, e construímos o motor. O topo da classificação não é canonização, nem JavaScript renderização, nem Core Web Vitals. É HTTP cabeçalhos de resposta — linhas únicas de configuração que a maioria das plataformas nunca define por padrão. 5 dos 7 verificações mais falhadas são cabeçalhos de segurança, e a verificação mais falhada de todas, Permissions-Policy, está faltando em 82% dos sites auditados.

A classificação

Metodologia: instantâneo de auditoria concluída mais recente por domínio, maio 4 – July 19, 2026, anonimizado. A amostra é auto-selecionada — proprietários que realizaram uma auditoria — e tende a favorecer sites pequenos e de médio porte, o que provavelmente subestima a adoção de cabeçalhos (plataformas grandes os configuram na borda). Trate a classificação como direcionada para a cauda longa da web.

Por que os cabeçalhos falham mais do que tudo o mais

Os cabeçalhos falham em escala porque são invisíveis. Nada é renderizado de forma diferente quando faltam. Nenhum CMS avisa você. Eles ficam abaixo da camada de aplicação — a maioria dos proprietários de sites nunca editou uma configuração de servidor, e as plataformas que os hospedam (hospedagem compartilhada, construtores de sites, WordPress gerenciados) raramente definem cabeçalhos de segurança em seu nome. Essa invisibilidade os torna a medida mais pura de se alguém já endureceu deliberadamente um site. E isso funciona nos dois sentidos: porque a falha é de configuração e não de engenharia, a correção é medida em minutos.

O que os principais 5 realmente fazem

Permissions-Policy (82% ausente) decide quais recursos do navegador suas páginas podem usar — câmera, microfone, geolocalização, tela cheia e 30+ outros. Sem ele, todos os recursos estão disponíveis para todos os scripts na sua página, incluindo tags de terceiros que você não escreveu. Um padrão sensato nega o que você não usa:

Permissions-Policy: camera=(), microphone=(), geolocation=()

Referrer-Policy (70% ausente) controla quanto do seu URL vaza para terceiros quando os usuários clicam em links ou carregam recursos. Seus URLs contêm parâmetros de campanha, consultas de busca e, às vezes, tokens. Este cabeçalho decide quem os vê:

Referrer-Policy: strict-origin-when-cross-origin

Content-Security-Policy (70% ausente) é o cabeçalho de maior esforço na lista e de maior valor: ele limita de onde scripts, estilos e frames podem ser carregados, o que contém um XSS ou um gerenciador de tags comprometido. Comece em modo apenas-relatório, observe o que quebra, depois aplique:

Content-Security-Policy-Report-Only: default-src 'self'

Schema de Organização (63% ausente) é o único não-cabeçalho entre os 5 principais — o bloco JSON-LD que diz aos motores de busca e sistemas de IA quem você é como entidade: nome, logotipo, perfis, pontos de contato. É a base da elegibilidade do painel de conhecimento e de como a busca por IA entende sua marca. Cobertamos o padrão mais amplo em o que 285 auditorias revelaram sobre dados estruturados — a presença não é o problema, a precisão é. X-Frame-Options (62% ausente) declara se suas páginas podem ser enquadradas por outros sites. Sem ele, seu site pode ser incorporado dentro da página de um atacante — a configuração clássica de clickjacking, onde uma sobreposição transparente captura cliques destinados a você:

X-Frame-Options: DENY

O caso de SEO para cabeçalhos de segurança

Eles não são verificações de ranking de SEO no sentido direto — ninguém ganha posições adicionando um cabeçalho. Eles importam para o desempenho de busca por meio de confiança e elegibilidade. Navegadores exibem o estado de segurança para os usuários, sistemas de safe‑browsing sinalizam sites comprometidos, e um site que é clickjacked ou injetado com um frame malicioso perde sua presença de busca de forma difícil. Os cabeçalhos também fazem parte de como uma auditoria — a nossa incluída — distingue um site mantido de um abandonado. Agentes de IA que avaliam fontes para respostas aplicam a mesma distinção: a camada de configuração é a evidência visível de disciplina operacional. A verificação de conteúdo 1 nos principais 10 funciona da mesma forma — detalhamos como 76% de arquivos llms.txt falham agentes em um relatório separado.

A ordem de correção

Use a classificação como lista de verificação, de cima para baixo, pois essa é a ordem esforço-para-impacto. Permissions-Policy, Referrer-Policy, X-Frame-Options e X-Content-Type-Options são 4 linhas que você pode adicionar no seu servidor, CDN, ou na borda da plataforma hoje. CSP merece uma tarde: primeiro apenas relatório, depois aplicação. O esquema de organização é uma mudança de modelo. Cada auditoria que executamos verifica tudo isso e mostra os cabeçalhos exatos que suas respostas enviaram; o relatório gratuito lista cada um que falta com a linha que o corrige. A lição mais profunda da classificação é onde o risco realmente se acumula. As equipes planejam sprints para pipelines de renderização e orçamentos de desempenho enquanto os itens mais falhados no site médio são linhas de configuração 4. Os sites que passam nessas verificações não são melhor financiados. Eles são os sites onde alguém, uma vez, olhou.