{"id":52992,"date":"2025-06-20T13:04:15","date_gmt":"2025-06-20T13:04:15","guid":{"rendered":"https:\/\/www.edgenexus.io\/nao-categorizado\/simplificando-os-cabecalhos-http-de-seguranca-com-o-gerenciamento-de-trafego-da-edgenexus-x-content-type-options\/"},"modified":"2025-06-20T13:04:15","modified_gmt":"2025-06-20T13:04:15","slug":"simplificando-os-cabecalhos-http-de-seguranca-com-o-gerenciamento-de-trafego-da-edgenexus-x-content-type-options","status":"publish","type":"post","link":"https:\/\/www.edgenexus.io\/pt-br\/blog-pt-br\/simplificando-os-cabecalhos-http-de-seguranca-com-o-gerenciamento-de-trafego-da-edgenexus-x-content-type-options\/","title":{"rendered":"Simplificando os cabe\u00e7alhos HTTP de seguran\u00e7a com o gerenciamento de tr\u00e1fego da edgeNEXUS: X-Content-Type-Options"},"content":{"rendered":"

 <\/p>\n

Algo que aparece com frequ\u00eancia nos testes de penetra\u00e7\u00e3o de seguran\u00e7a que todos n\u00f3s temos que suportar (infelizmente, por um bom motivo) \u00e9 a falta ou a inconsist\u00eancia no fornecimento do cabe\u00e7alho HTTP X-Content-Type-Options nas respostas do servidor Web. Isso pode ser irritante, mas quanto mais seguro for nosso site e seus visitantes, melhor. <\/p>\n

Para que serve esse cabe\u00e7alho, afinal? \u00c9 simples: o Chrome e o Internet Explorer t\u00eam um recurso chamado \u201cMIME-Sniffing\u201d que \u00e9 ativado por padr\u00e3o e detecta o tipo de conte\u00fado encontrado em uma resposta do servidor da Web. Isso \u00e9 usado para exibir melhor uma p\u00e1gina da Web, mesmo que o servidor da Web tenha errado em alguma coisa ou que a p\u00e1gina esteja mal escrita e tenha especificado um tipo de conte\u00fado incorreto. <\/p>\n

Por exemplo, um site pode enviar uma resposta informando que o conte\u00fado inclu\u00eddo \u00e9 texto, por meio do cabe\u00e7alho Content-Type e um valor de text\/plain. O navegador detectar\u00e1 que se trata, na verdade, de um PDF e o exibir\u00e1 corretamente. Caso contr\u00e1rio, ele poder\u00e1 tentar renderiz\u00e1-lo como texto, o que resultar\u00e1 em uma p\u00e1gina manchada ou ileg\u00edvel. Para alguns desenvolvedores de navegadores, essa p\u00e1gina bonita \u00e9 melhor do que estar em conformidade com os padr\u00f5es. <\/p>\n

N\u00e3o parece muito ruim? Bem, qualquer software que voc\u00ea possa empregar em seu navegador para impedir o download, a exibi\u00e7\u00e3o ou a execu\u00e7\u00e3o de determinados tipos de conte\u00fado pode ser potencialmente contornado por esse recurso. H\u00e1 muitos motivos para voc\u00ea querer bloquear execut\u00e1veis, arquivos zip, arquivos do Word e similares. No Windows, ainda \u00e9 poss\u00edvel \u201cpossuir\u201d um computador com apenas uma imagem GIF. <\/p>\n

Qualquer software que usemos para nos proteger contra essas amea\u00e7as, bloqueando esse conte\u00fado, s\u00f3 pode inspecionar o valor do cabe\u00e7alho Content-Type e agir adequadamente com base nesse valor. O fato de o navegador fazer algo completamente diferente do que seria esperado n\u00e3o ajuda e representa um risco. <\/p>\n

A vantagem de usar um balanceador de carga \u00e9 que voc\u00ea s\u00f3 precisa fazer isso em um \u00fanico lugar para implant\u00e1-lo em todos os nossos servidores. N\u00e3o precisamos depender de desenvolvedores ou de reconfigura\u00e7\u00f5es do Apache. No balanceador de carga edgeNEXUS, basta importar um modelo de configura\u00e7\u00e3o jetPACK e atribuir uma regra de tr\u00e1fego flightPATH ao(s) servi\u00e7o(s) virtual(is) que desejamos proteger. <\/p>\n

A regra s\u00f3 adiciona o cabe\u00e7alho se ele n\u00e3o existir, portanto, funcionar\u00e1 mesmo quando nossos servidores da Web j\u00e1 o inserirem ou o inserirem somente em p\u00e1ginas espec\u00edficas. Essa regra deve fazer parte da configura\u00e7\u00e3o padr\u00e3o do Virtual Service – voc\u00ea n\u00e3o tem nada a perder, seja qual for o site, embora, \u00e9 claro, seja sempre recomend\u00e1vel fazer testes. Voc\u00ea pode fazer o download do jetPACK no site do Github da edgeNEXUS aqui<\/a>. <\/p>\n

Essa \u00e9 uma das muitas regras do flightPATH que desenvolvemos e que voc\u00ea pode implantar para aumentar a seguran\u00e7a do seu site e de seus usu\u00e1rios. Para saber mais sobre cabe\u00e7alhos HTTP relacionados \u00e0 seguran\u00e7a, confira estes artigos: <\/p>\n