Como configurar cabeçalhos de segurança HTTP (X-Frame-Options, CSP) no servidor

O que são cabeçalhos de segurança HTTP e por que eles importam

Olá! Aqui é a Sensei da GeHost 🦉 Hoje vamos falar de um assunto que parece complicado, mas que na prática é bem simples de aplicar: os cabeçalhos de segurança HTTP (em inglês, HTTP Security Headers).

Pense neles como "avisos" que o seu site manda para o navegador de quem está visitando, dizendo coisas como: "só me exiba dentro do meu próprio domínio" ou "só carregue scripts que eu autorizei". Isso ajuda a proteger seus visitantes contra ataques comuns, como clickjacking (quando um site malicioso coloca o seu site escondido dentro de um iframe) e injeção de conteúdo malicioso.

💡 Dica da Sensei: você não precisa saber programar para configurar isso. Vamos usar um arquivo chamado .htaccess, que já existe (ou pode ser criado) na pasta do seu site.

Os dois cabeçalhos mais importantes

1. X-Frame-Options

Esse cabeçalho impede que o seu site seja carregado dentro de um "quadro" (iframe) em outro site sem sua permissão. É uma das defesas mais simples contra clickjacking.

2. Content-Security-Policy (CSP)

Já esse é mais completo: ele define de onde o seu site pode carregar scripts, imagens, estilos e outros recursos. Quanto mais restrito, mais seguro — mas também exige mais atenção, porque uma configuração errada pode "quebrar" partes do seu site (como um script de terceiros que você usa).

⚠️ Atenção: por causa desse risco de quebrar funcionalidades, recomendamos testar o CSP com calma, revisando o site depois de aplicar, antes de considerar a configuração "definitiva".

Passo a passo: como configurar no cPanel

1. Acesse o cPanel da sua hospedagem GeHost com seu usuário e senha.
   
2. Na tela inicial, procure o grupo de ferramentas "Arquivos" e clique em "Gerenciador de Arquivos".
3. Navegue até a pasta do seu site — geralmente é a public_html (ou a subpasta do domínio, se você hospeda mais de um site na conta).
   
4. Verifique se existe um arquivo chamado .htaccess nessa pasta.
   • Se ele existir, mas não aparecer na lista, clique em Configurações (canto superior direito do Gerenciador de Arquivos) e marque a opção para "Mostrar Arquivos Ocultos (arquivos com ponto)".
   • Se ele não existir, clique em "+ Arquivo" e crie um arquivo com esse nome exato.
5. Clique com o botão direito sobre o .htaccess e escolha "Editar".
6. Adicione as linhas abaixo no início do arquivo (não apague o que já existe embaixo):

Exemplo básico e seguro para começar:

<IfModule mod_headers.c>
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set X-Content-Type-Options "nosniff"
  Header always set Content-Security-Policy "default-src 'self';"
</IfModule>

Explicando rapidinho cada linha:

• X-Frame-Options "SAMEORIGIN" — permite que o site seja exibido em iframe apenas dentro do próprio domínio.
• X-Content-Type-Options "nosniff" — impede que o navegador tente "adivinhar" o tipo de um arquivo, o que evita alguns truques de ataque.
• Content-Security-Policy "default-src 'self';" — diz ao navegador para só carregar recursos (scripts, imagens, estilos) do próprio domínio. É um ponto de partida seguro.
7. Clique em "Salvar Alterações".
8. Abra o seu site em uma aba anônima do navegador e navegue por algumas páginas para conferir se tudo continua funcionando normalmente (imagens, formulários, scripts de terceiros, etc.).

🌱 Dica da Sensei: se o seu site usa recursos externos — como Google Fonts, um chat de atendimento, ou um script de análise de visitas — o CSP acima pode bloquear esses recursos. Nesse caso, você vai precisar liberar cada domínio externo dentro da política. Se não se sentir confortável fazendo esse ajuste sozinho, nosso suporte pode te orientar.

Se algo der errado

Configurar CSP é a parte que mais costuma exigir ajustes finos, porque cada site usa recursos diferentes. Se depois de salvar o .htaccess você notar que alguma parte do site parou de funcionar (um botão, um formulário, uma imagem que sumiu), o caminho mais simples é:

1. Voltar ao Gerenciador de Arquivos e editar o .htaccess novamente.
2. Remover (ou comentar, colocando # na frente) a linha do Content-Security-Policy.
3. Salvar e testar de novo — se o problema sumir, o ajuste fino da política é o próximo passo, liberando especificamente o recurso que estava sendo bloqueado.

Se preferir não mexer sozinho nesse ajuste, é só chamar o suporte da GeHost e explicar o que aconteceu — a gente te ajuda a calibrar a política sem quebrar o site.

Resumo rápido

• Cabeçalhos de segurança protegem seus visitantes contra clickjacking e carregamento de conteúdo indevido.
• Eles são configurados no arquivo .htaccess, dentro do Gerenciador de Arquivos do cPanel.
• Comece com uma política simples (default-src 'self') e vá ajustando aos poucos, testando sempre depois de cada mudança.
• Em caso de dúvida, o suporte da GeHost está por aqui para ajudar. 💛