Verificador de cabeçalhos de resposta HTTP

O HTTP Strict Transport Security (HSTS) com a diretiva preload instrui os navegadores a recusar conexões HTTP não criptografadas e a não permitir a substituição de erros de certificado. Quando um visitante se conecta ao WiFi e tenta abrir um domínio pré-carregado com HSTS (como google.com), a interceptação HTTP do controlador sem fio não consegue apresentar um certificado válido para esse domínio. O navegador exibe um aviso de SSL rígido em vez de redirecionar para o portal cativo. Redes modernas usam a API de portal cativo RFC 8908 ou domínios de teste de portal cativo da Apple/Android (como captive.apple.com), que omitem intencionalmente o HSTS.

As splash pages de portal cativo exigem uma CSP equilibrada que permita recursos essenciais de autenticação, ao mesmo tempo que evita cross-site scripting (XSS). A política deve permitir scripts e estilos de CDNs confiáveis e provedores de identidade de login social (como Google, Apple e Microsoft), restringindo o default-src 'self' e proibindo a execução de scripts inline não confiáveis. Além disso, os domínios de redirecionamento de autenticação social devem ser incluídos na lista de permissões (Walled Garden) do controlador de rede.

O cabeçalho X-Frame-Options: DENY ou SAMEORIGIN (e a diretiva moderna CSP frame-ancestors) impede que sites de terceiros maliciosos renderizem o formulário de login do portal cativo dentro de um iframe invisível. Isso elimina ataques de clickjacking, nos quais os invasores enganam os visitantes para que enviem credenciais de login ou tokens de autorização social.

Um redirecionamento HTTP 302 Found é comumente usado por controladores de rede legados para redirecionar solicitações HTTP iniciais para o URL da splash page, mas os clientes podem alterar as solicitações POST para GET. Um redirecionamento temporário HTTP 307 garante que o método HTTP e o corpo da solicitação permaneçam inalterados durante o redirecionamento. Para redes cativas modernas, a RFC 8908 fornece um endpoint JSON padronizado que elimina completamente a interceptação HTTP.

O cabeçalho X-Content-Type-Options: nosniff força os navegadores a aderirem estritamente ao tipo MIME declarado no cabeçalho Content-Type. Isso evita ataques de MIME-sniffing, nos quais arquivos carregados por usuários ou trechos de texto maliciosos são executados como JavaScript ou CSS executáveis em navegadores vulneráveis.

A Permissions-Policy (anteriormente Feature-Policy) permite que os operadores do site desativem APIs de hardware confidenciais, como câmera, microfone, geolocalização e solicitação de pagamento dentro do contexto do navegador. A desativação de recursos de dispositivos não utilizados nas landing pages de WiFi para visitantes garante aos visitantes que o portal respeita os padrões de privacidade de dados.