Bit Happens Bits happen. Fix them before shit happens. — página inicial
PT
MENU
RAIO-X // RELATÓRIO COMPLETO

RAIO-X
DO DOMÍNIO.

Digite um domínio e os 33 testes rodam de uma vez: DNS, e-mail, HTTPS, certificados e reputação. Cada caixa explica o teste, mostra como corrigir e pode ser refeita sozinha.

Aceita domínio, URL ou e-mail. Só consultas públicas: DNS, a página inicial do site e bases públicas. Nenhuma porta é escaneada. Cada grupo de resultados fica em cache por 5 minutos a 1 hora, sem nada sobre quem consultou; o REFAZER de um teste sempre consulta de novo.

DNS // 7 TESTES

DNS e servidores de nome

Endereços, servidores autoritativos, assinatura DNSSEC e quem pode emitir certificados.

DNS

Registros DNS

AGUARDANDO

Consulta os registros básicos do domínio: endereços IPv4 (A) e IPv6 (AAAA), alias (CNAME) e o SOA, que identifica o servidor primário e o número de série da zona.

SOBRE ESTE TESTE

O que é. Consulta os registros básicos do domínio: endereços IPv4 (A) e IPv6 (AAAA), alias (CNAME) e o SOA, que identifica o servidor primário e o número de série da zona.

Por que importa. Sem A ou AAAA o site não abre pelo nome. O número de série do SOA ajuda a confirmar se uma alteração já chegou ao DNS público.

Página do teste: como ler o resultado e como corrigir →

Guia: Como diagnosticar problemas de DNS →

Abrir no DNS Lookup →

DNSSEC

AGUARDANDO

Verifica se a zona é assinada (DNSKEY), se o registro DS foi publicado no registro do domínio e se o resolvedor 1.1.1.1 validou a cadeia de confiança (flag AD).

SOBRE ESTE TESTE

O que é. Verifica se a zona é assinada (DNSKEY), se o registro DS foi publicado no registro do domínio e se o resolvedor 1.1.1.1 validou a cadeia de confiança (flag AD).

Por que importa. DNSSEC impede que respostas DNS falsificadas desviem visitantes ou e-mails. Assinar a zona sem publicar o DS no registro não protege nada.

Página do teste: como ler o resultado e como corrigir →

Guia: Como diagnosticar problemas de DNS →

CAA

AGUARDANDO

Lê os registros CAA, que dizem quais autoridades certificadoras podem emitir certificados para o domínio.

SOBRE ESTE TESTE

O que é. Lê os registros CAA, que dizem quais autoridades certificadoras podem emitir certificados para o domínio.

Por que importa. Sem CAA, qualquer autoridade confiável pode emitir um certificado para o seu domínio se for enganada na validação. Com CAA, pedidos feitos a outras autoridades são recusados.

Página do teste: como ler o resultado e como corrigir →

Guia: Como verificar um certificado TLS →

TXT

Registros TXT

AGUARDANDO

Lista os registros TXT e identifica para que servem: SPF, verificações de propriedade (Google, Microsoft, Meta e outros) e demais usos.

SOBRE ESTE TESTE

O que é. Lista os registros TXT e identifica para que servem: SPF, verificações de propriedade (Google, Microsoft, Meta e outros) e demais usos.

Por que importa. TXT de serviços que você já não usa revelam fornecedores e acumulam lixo na zona. Revise o que não reconhecer.

Página do teste: como ler o resultado e como corrigir →

IPv6

AGUARDANDO

Confere se o domínio publica endereço IPv6 (AAAA) público.

SOBRE ESTE TESTE

O que é. Confere se o domínio publica endereço IPv6 (AAAA) público.

Por que importa. Muitos provedores e redes móveis já entregam IPv6. Sem AAAA, esses acessos dependem de tradução para IPv4 no caminho.

Página do teste: como ler o resultado e como corrigir →

ASN

Rede e hospedagem

AGUARDANDO

Identifica o sistema autônomo (ASN), a organização e o prefixo que anunciam o endereço do domínio, pela base IP-to-ASN do Team Cymru.

SOBRE ESTE TESTE

O que é. Identifica o sistema autônomo (ASN), a organização e o prefixo que anunciam o endereço do domínio, pela base IP-to-ASN do Team Cymru.

Por que importa. Mostra quem hospeda ou protege o site, por exemplo uma CDN. O país é o de registro do prefixo, não a localização física do servidor.

Página do teste: como ler o resultado e como corrigir →

Contexto de IP no Meu IP →

MAIL // 7 TESTES

E-mail

Quem recebe as mensagens, quem pode enviar em nome do domínio e como ele se protege de falsificação.

MX

Servidores de e-mail (MX)

AGUARDANDO

Lista os registros MX, que dizem para quais servidores os e-mails do domínio são entregues, confere se cada um resolve e identifica o provedor.

SOBRE ESTE TESTE

O que é. Lista os registros MX, que dizem para quais servidores os e-mails do domínio são entregues, confere se cada um resolve e identifica o provedor.

Por que importa. Sem MX o domínio não recebe e-mail. Um MX nulo (0 .) é a forma correta de declarar que o domínio não recebe mensagens.

Página do teste: como ler o resultado e como corrigir →

Guia: Como verificar SPF, DKIM e DMARC →

Abrir no Email Health →

SPF

AGUARDANDO

Lê a política SPF, que lista quem pode enviar e-mail em nome do domínio, e estima quantas consultas DNS ela gera na avaliação.

SOBRE ESTE TESTE

O que é. Lê a política SPF, que lista quem pode enviar e-mail em nome do domínio, e estima quantas consultas DNS ela gera na avaliação.

Por que importa. Sem SPF, ou com +all, qualquer servidor pode se passar pelo domínio. Mais de 10 consultas DNS fazem a política falhar (PermError) no destinatário.

Página do teste: como ler o resultado e como corrigir →

Guia: Como verificar SPF, DKIM e DMARC →

Abrir no Email Health →

DMARC

AGUARDANDO

Lê a política DMARC: o que o destinatário deve fazer com mensagens que falham em SPF e DKIM e para onde mandar os relatórios.

SOBRE ESTE TESTE

O que é. Lê a política DMARC: o que o destinatário deve fazer com mensagens que falham em SPF e DKIM e para onde mandar os relatórios.

Por que importa. Com p=none o domínio só monitora: e-mail falsificado continua chegando. É p=quarantine ou p=reject que bloqueia a falsificação.

Página do teste: como ler o resultado e como corrigir →

Guia: DMARC: none, quarantine ou reject →

Gerar registro no Email Health →

DKIM

AGUARDANDO

Procura chaves DKIM em seis seletores comuns: selector1, selector2, google, default, s1 e s2.

SOBRE ESTE TESTE

O que é. Procura chaves DKIM em seis seletores comuns: selector1, selector2, google, default, s1 e s2.

Por que importa. DKIM assina as mensagens, e Gmail e Yahoo exigem assinatura de quem envia em volume. Não achar nos seletores comuns não significa ausência: o seletor real aparece no cabeçalho DKIM-Signature.

Página do teste: como ler o resultado e como corrigir →

Guia: Como verificar SPF, DKIM e DMARC →

Testar um seletor no Email Health →

MTA-STS

AGUARDANDO

Verifica o registro _mta-sts e a política publicada em https://mta-sts.<domínio>/.well-known/mta-sts.txt.

SOBRE ESTE TESTE

O que é. Verifica o registro _mta-sts e a política publicada em https://mta-sts.<domínio>/.well-known/mta-sts.txt.

Por que importa. MTA-STS obriga os servidores remetentes a usar TLS válido na entrega, impedindo que alguém no caminho rebaixe a conexão para texto puro.

Página do teste: como ler o resultado e como corrigir →

TLS-RPT

AGUARDANDO

Verifica o registro _smtp._tls, que define para onde os remetentes enviam relatórios de falhas de TLS na entrega de e-mail.

SOBRE ESTE TESTE

O que é. Verifica o registro _smtp._tls, que define para onde os remetentes enviam relatórios de falhas de TLS na entrega de e-mail.

Por que importa. Sem relatórios, problemas de certificado ou de MTA-STS no seu servidor de e-mail passam despercebidos.

Página do teste: como ler o resultado e como corrigir →

BIMI

AGUARDANDO

Procura o registro BIMI, que publica o logotipo da marca para clientes de e-mail compatíveis.

SOBRE ESTE TESTE

O que é. Procura o registro BIMI, que publica o logotipo da marca para clientes de e-mail compatíveis.

Por que importa. É opcional e só funciona com DMARC em quarantine ou reject. Os principais provedores exigem também um certificado de marca (VMC ou CMC).

Página do teste: como ler o resultado e como corrigir →

WEB // 12 TESTES

Site e HTTPS

O que a página inicial responde, com quais proteções, e o que ela mostra a buscadores e terceiros.

HTTP

Status do site

AGUARDANDO

Acessa a página inicial por HTTPS, segue os redirecionamentos e registra o código de resposta, o destino final e o tempo de resposta.

SOBRE ESTE TESTE

O que é. Acessa a página inicial por HTTPS, segue os redirecionamentos e registra o código de resposta, o destino final e o tempo de resposta.

Por que importa. Mostra se o site está no ar visto de fora da sua rede, a partir da rede da Cloudflare, e por quantos saltos o visitante passa até a página.

Página do teste: como ler o resultado e como corrigir →

Abrir no HTTP & HTTPS →

REDIR

Redirecionamento para HTTPS

AGUARDANDO

Acessa http://<domínio> e confere se ele redireciona para HTTPS, e com qual código.

SOBRE ESTE TESTE

O que é. Acessa http://<domínio> e confere se ele redireciona para HTTPS, e com qual código.

Por que importa. Quem digita só o domínio chega por HTTP. Sem redirecionamento, a primeira página trafega sem criptografia.

Página do teste: como ler o resultado e como corrigir →

HSTS

AGUARDANDO

Lê o cabeçalho Strict-Transport-Security e consulta se o domínio está na lista de preload dos navegadores.

SOBRE ESTE TESTE

O que é. Lê o cabeçalho Strict-Transport-Security e consulta se o domínio está na lista de preload dos navegadores.

Por que importa. HSTS faz o navegador usar só HTTPS por um período, mesmo que alguém tente rebaixar a conexão. O preload protege inclusive a primeira visita.

Página do teste: como ler o resultado e como corrigir →

HEADERS

Cabeçalhos de segurança

AGUARDANDO

Confere os cabeçalhos de proteção da resposta: CSP, X-Content-Type-Options, proteção contra frames, Referrer-Policy, Permissions-Policy e COOP.

SOBRE ESTE TESTE

O que é. Confere os cabeçalhos de proteção da resposta: CSP, X-Content-Type-Options, proteção contra frames, Referrer-Policy, Permissions-Policy e COOP.

Por que importa. Eles reduzem o impacto de XSS, clickjacking e vazamento de dados para terceiros. Cada um ausente é uma camada a menos.

Página do teste: como ler o resultado e como corrigir →

Abrir no HTTP & HTTPS →

COOKIE

Cookies

AGUARDANDO

Analisa os cookies definidos na primeira visita e os atributos de cada um: Secure, HttpOnly e SameSite. Os valores dos cookies não são lidos nem guardados.

SOBRE ESTE TESTE

O que é. Analisa os cookies definidos na primeira visita e os atributos de cada um: Secure, HttpOnly e SameSite. Os valores dos cookies não são lidos nem guardados.

Por que importa. Cookie de sessão sem Secure pode vazar em HTTP, sem HttpOnly fica exposto a scripts e sem SameSite fica mais exposto a CSRF.

Página do teste: como ler o resultado e como corrigir →

CDN

Servidor, CDN e WAF

AGUARDANDO

Identifica a CDN ou o firewall de aplicação (WAF) na frente do site, pelo endereço e pelos cabeçalhos, e se a versão do software está exposta. O cabeçalho Server do site não é visível daqui: a Cloudflare o substitui nas consultas do Worker.

SOBRE ESTE TESTE

O que é. Identifica a CDN ou o firewall de aplicação (WAF) na frente do site, pelo endereço e pelos cabeçalhos, e se a versão do software está exposta. O cabeçalho Server do site não é visível daqui: a Cloudflare o substitui nas consultas do Worker.

Por que importa. Versão exposta em Server ou X-Powered-By facilita procurar falhas conhecidas daquela versão.

Página do teste: como ler o resultado e como corrigir →

ROBOTS

robots.txt

AGUARDANDO

Lê o /robots.txt: as regras para buscadores e robôs de IA e os sitemaps declarados.

SOBRE ESTE TESTE

O que é. Lê o /robots.txt: as regras para buscadores e robôs de IA e os sitemaps declarados.

Por que importa. Um Disallow: / esquecido tira o site inteiro do Google. Robôs de IA também consultam estas regras.

Página do teste: como ler o resultado e como corrigir →

Sitemap

AGUARDANDO

Procura o sitemap XML, declarado no robots.txt ou em /sitemap.xml, e conta as URLs listadas.

SOBRE ESTE TESTE

O que é. Procura o sitemap XML, declarado no robots.txt ou em /sitemap.xml, e conta as URLs listadas.

Por que importa. O sitemap ajuda os buscadores a descobrir e reindexar páginas novas mais rápido.

Página do teste: como ler o resultado e como corrigir →

SEC.TXT

security.txt

AGUARDANDO

Lê o /.well-known/security.txt (RFC 9116): o contato para relatar vulnerabilidades, a validade do arquivo e os idiomas aceitos.

SOBRE ESTE TESTE

O que é. Lê o /.well-known/security.txt (RFC 9116): o contato para relatar vulnerabilidades, a validade do arquivo e os idiomas aceitos.

Por que importa. Sem um contato publicado, quem encontra uma falha no seu site não sabe a quem avisar, ou avisa em público.

Página do teste: como ler o resultado e como corrigir →

SEO

Título, descrição e redes sociais

AGUARDANDO

Lê o título, a meta description, a URL canônica, o idioma e as tags Open Graph e Twitter da página inicial.

SOBRE ESTE TESTE

O que é. Lê o título, a meta description, a URL canônica, o idioma e as tags Open Graph e Twitter da página inicial.

Por que importa. É o que aparece no Google e quando alguém compartilha o link. Um noindex esquecido tira a página dos buscadores.

Página do teste: como ler o resultado e como corrigir →

MIXED

Conteúdo misto e SRI

AGUARDANDO

Procura recursos carregados por http:// numa página HTTPS e scripts de outros domínios sem verificação de integridade (atributo integrity).

SOBRE ESTE TESTE

O que é. Procura recursos carregados por http:// numa página HTTPS e scripts de outros domínios sem verificação de integridade (atributo integrity).

Por que importa. Script por HTTP é bloqueado pelo navegador ou pode ser adulterado no caminho. O SRI garante que o arquivo vindo de outro domínio é o que você aprovou.

Página do teste: como ler o resultado e como corrigir →

3RD

Terceiros e rastreadores

AGUARDANDO

Lista os domínios externos que a página inicial carrega (scripts, frames, estilos e imagens) e identifica rastreadores conhecidos.

SOBRE ESTE TESTE

O que é. Lista os domínios externos que a página inicial carrega (scripts, frames, estilos e imagens) e identifica rastreadores conhecidos.

Por que importa. Cada terceiro recebe dados de quem visita o site e é mais um ponto de falha. Pela LGPD, rastreadores precisam de base legal, em geral o consentimento.

Página do teste: como ler o resultado e como corrigir →

CERT // 2 TESTES

Certificados

Certificate Transparency: o certificado em uso e os subdomínios que aparecem em certificados válidos.

CERT

Certificado HTTPS

AGUARDANDO

Busca nos logs públicos de Certificate Transparency o certificado válido mais recente para o domínio: emissor, validade e nomes cobertos.

SOBRE ESTE TESTE

O que é. Busca nos logs públicos de Certificate Transparency o certificado válido mais recente para o domínio: emissor, validade e nomes cobertos.

Por que importa. Certificado vencido derruba o site com alerta de segurança. O Worker da Cloudflare não lê o certificado da conexão, por isso o dado vem dos logs públicos.

Página do teste: como ler o resultado e como corrigir →

Guia: Como verificar um certificado TLS →

Abrir no HTTP & HTTPS →

SUBS

Subdomínios (CT)

AGUARDANDO

Lista os subdomínios que aparecem em certificados válidos nos logs de Certificate Transparency.

SOBRE ESTE TESTE

O que é. Lista os subdomínios que aparecem em certificados válidos nos logs de Certificate Transparency.

Por que importa. É o que qualquer pessoa enxerga do seu domínio: ambientes de teste, painéis e serviços esquecidos aparecem aqui.

Página do teste: como ler o resultado e como corrigir →

Guia: Como descobrir subdomínios →

Histórico completo no Passive Subdomains →

REP // 5 TESTES

Registro e reputação

Dono e validade do domínio, listas de bloqueio, vazamentos, histórico e popularidade.

RDAP

Registro do domínio

AGUARDANDO

Consulta o RDAP, sucessor do WHOIS: registrador, datas de criação, atualização e expiração, status e servidores de nome no registro.

SOBRE ESTE TESTE

O que é. Consulta o RDAP, sucessor do WHOIS: registrador, datas de criação, atualização e expiração, status e servidores de nome no registro.

Por que importa. Domínio vencido tira site e e-mail do ar de uma vez. Status como clientTransferProhibited protegem contra transferência indevida.

Página do teste: como ler o resultado e como corrigir →

Abrir no RDAP / WHOIS →

BLOCK

Bloqueio em DNS com filtro

AGUARDANDO

Resolve o domínio em DNS públicos que bloqueiam malware, phishing e conteúdo adulto (Quad9, Cloudflare, AdGuard, OpenDNS e CleanBrowsing) e compara com a resposta sem filtro.

SOBRE ESTE TESTE

O que é. Resolve o domínio em DNS públicos que bloqueiam malware, phishing e conteúdo adulto (Quad9, Cloudflare, AdGuard, OpenDNS e CleanBrowsing) e compara com a resposta sem filtro.

Por que importa. Se o domínio cai numa lista de bloqueio, quem usa esses DNS, como muitas empresas e escolas, não consegue abrir o site, e você não recebe aviso nenhum.

Página do teste: como ler o resultado e como corrigir →

HIBP

Vazamentos de dados

AGUARDANDO

Consulta o Have I Been Pwned por vazamentos de dados registrados para o domínio.

SOBRE ESTE TESTE

O que é. Consulta o Have I Been Pwned por vazamentos de dados registrados para o domínio.

Por que importa. Se o site já vazou dados de usuários, as senhas daquela época podem estar sendo testadas em outros serviços (credential stuffing).

Página do teste: como ler o resultado e como corrigir →

ARCHIVE

Histórico no Wayback Machine

AGUARDANDO

Busca a primeira e a última captura do site no Internet Archive.

SOBRE ESTE TESTE

O que é. Busca a primeira e a última captura do site no Internet Archive.

Por que importa. Mostra há quanto tempo o site existe e permite ver versões antigas, útil para investigar mudanças ou conteúdo removido.

Página do teste: como ler o resultado e como corrigir →

RANK

Ranking global (Tranco)

AGUARDANDO

Consulta a posição do domínio no Tranco, lista de pesquisa com o 1 milhão de sites mais acessados do mundo.

SOBRE ESTE TESTE

O que é. Consulta a posição do domínio no Tranco, lista de pesquisa com o 1 milhão de sites mais acessados do mundo.

Por que importa. Dá noção de escala. A maioria dos domínios não está na lista, e isso é normal.

Página do teste: como ler o resultado e como corrigir →

EXTRA // SOB DEMANDA

Captura de tela do site

Veja a página inicial como um navegador a renderiza. Não é um dos 33 testes automáticos: só consome minutos do Browser Run quando pedir.

SCREENSHOT

Visualização da página inicial

OPCIONAL

A captura abre apenas a página inicial HTTPS do domínio público e mostra a área visível, como numa tela de 1280×800. A imagem pode ficar em cache até seis horas; sites que bloqueiam navegadores automáticos podem não aparecer, e domínios bloqueados por filtro de segurança ou de conteúdo adulto não são capturados.

Primeiro informe um domínio e inicie o Raio-X.

SOBRE ESTA CAPTURA

O que é. Uma imagem de como o navegador da Cloudflare renderiza a página inicial do site, já com imagens e fontes carregadas: a parte visível de uma tela de 1280×800.

Por que importa. Ajuda a perceber visualmente redirecionamentos, bloqueios e diferenças de apresentação, sem precisar escolher outro teste.

Limites. Requer Turnstile, usa a quota gratuita de navegador e não permite caminhos, páginas autenticadas ou IPs privados. Um limite esgotado não altera os outros resultados.

RESULT // WORKFLOWUse o resultado no chamado ou handoff
O histórico fica neste navegador.
CONSULTAS LOCAIS RECENTES
FAQ

Perguntas frequentes

O que o Raio-X verifica?

São 33 testes públicos em cinco grupos: DNS (registros, servidores, DNSSEC, CAA, IPv6 e rede), e-mail (MX, SPF, DMARC, DKIM, MTA-STS, TLS-RPT e BIMI), site e HTTPS (status, redirecionamento, HSTS, cabeçalhos, cookies, robots.txt, sitemap, security.txt, SEO, conteúdo misto e terceiros), certificados e registro e reputação (RDAP, listas de bloqueio, vazamentos, Wayback e ranking).

O Raio-X escaneia portas ou faz testes invasivos?

Não. Ele consulta o DNS público, acessa a página inicial e alguns arquivos públicos do site (robots.txt, sitemap e security.txt) como um visitante faria, e consulta bases públicas. Teste de portas fica no Port Check, só para ativos que você administra.

Por que alguns testes aparecem como NÃO TESTADO?

Quando o teste não se aplica, como os testes de site num domínio sem endereço IP público, ou quando a fonte não tem o dado, como um registro que não oferece RDAP público. NÃO TESTADO não é um problema do domínio.

Por que DKIM, TLS-RPT e BIMI aparecem como INFO e não como OK?

Porque o teste só confirma que o registro existe no DNS. No caso do DKIM, a chave publicada não prova que as mensagens saem assinadas; confira o cabeçalho DKIM-Signature de um e-mail enviado.

O certificado mostrado é o que o servidor entrega agora?

É o certificado válido mais recente nos logs públicos de Certificate Transparency. O Worker da Cloudflare não lê o certificado da conexão; para conferir o que o servidor entrega, use o HTTP & HTTPS ou openssl s_client.

Posso refazer só um teste?

Sim. Cada caixa tem o botão REFAZER, que repete apenas aquele teste, útil depois de corrigir um registro. Lembre que respostas DNS ficam em cache pelo TTL do registro.

O resultado fica guardado?

Cada grupo de resultados fica no cache da Cloudflare de 5 minutos a 1 hora, com o domínio e o resultado e nada sobre quem consultou; ANALISAR DE NOVO SEM CACHE e o REFAZER de um teste consultam de novo. A captura de tela, quando pedida, fica em cache por até seis horas. O histórico local e a exportação em JSON, Markdown ou PDF ficam só no seu navegador.