Verificador de cabeçalhos de resposta HTTP

O HTTP Strict Transport Security (HSTS) com a diretiva preload instrui os navegadores a recusar ligações HTTP não encriptadas e a não permitir a sobreposição de erros de certificado. Quando um visitante se liga ao WiFi e tenta abrir um domínio pré-carregado com HSTS (como google.com), a interceção HTTP do controlador sem fios não consegue apresentar um certificado válido para esse domínio. O navegador apresenta um aviso de SSL grave em vez de redirecionar para o portal cativo. As redes modernas utilizam a API de portal cativo RFC 8908 ou domínios de teste de portal cativo da Apple/Android (como captive.apple.com) que omitem intencionalmente o HSTS.

As páginas de login de portal cativo requerem uma CSP equilibrada que permita recursos de autenticação essenciais, ao mesmo tempo que previne cross-site scripting (XSS). A política deve permitir scripts e estilos de CDNs fidedignas e fornecedores de identidade de login social (como a Google, Apple e Microsoft), restringindo ao mesmo tempo o default-src 'self' e impedindo a execução de scripts inline não fidedignos. Além disso, os domínios de redirecionamento de autenticação social devem ser incluídos na lista de permissões (Walled Garden) do controlador de rede.

O cabeçalho X-Frame-Options: DENY ou SAMEORIGIN (e a diretiva moderna CSP frame-ancestors) impede que websites de terceiros maliciosos renderizem o formulário de login do portal cativo dentro de um iframe invisível. Isto elimina ataques de clickjacking onde os atacantes enganam os visitantes para que submetam credenciais de login ou tokens de autorização social.

Um redirecionamento HTTP 302 Found é habitualmente utilizado por controladores de rede legados para redirecionar pedidos HTTP iniciais para o URL da página de login, mas os clientes podem alterar pedidos POST para GET. Um redirecionamento HTTP 307 Temporary Redirect garante que o método HTTP e o corpo do pedido permanecem inalterados durante o redirecionamento. Para redes cativas modernas, o RFC 8908 fornece um endpoint JSON padronizado que elimina completamente a interceção HTTP.

O cabeçalho X-Content-Type-Options: nosniff força os navegadores a aderirem estritamente ao tipo MIME declarado no cabeçalho Content-Type. Isto previne ataques de MIME-sniffing onde ficheiros carregados por utilizadores ou fragmentos de texto maliciosos são executados como JavaScript ou CSS executáveis em navegadores vulneráveis.

O Permissions-Policy (anteriormente Feature-Policy) permite aos operadores de sites desativar APIs de hardware sensíveis, tais como câmara, microfone, geolocalização e pedidos de pagamento dentro do contexto do navegador. Desativar funcionalidades de dispositivos não utilizadas em páginas de destino de WiFi para visitantes garante aos visitantes que o portal respeita as normas de privacidade de dados.