Boas Práticas de Segurança e Infraestrutura

1. Princípios de Segurança

Privilegiamos configurações seguras, controlo de acessos, atualização de software, redundância e monitorização proporcionais ao risco.

Seguimos, quando aplicável, recomendações técnicas de organismos e entidades de referência, incluindo o IETF (Internet Engineering Task Force), a ICANN (Internet Corporation for Assigned Names and Numbers) e a ENISA (Agência da União Europeia para a Cibersegurança).

A implementação concreta das medidas de segurança varia consoante a arquitetura utilizada, o plano contratado, as funcionalidades disponíveis e os requisitos técnicos de cada aplicação.

A segurança é encarada como um processo contínuo de prevenção, deteção, resposta e melhoria, não existindo mecanismos capazes de eliminar integralmente todos os riscos.

2. Segurança e Integridade do DNS

O sistema de nomes de domínio (DNS) é essencial para a disponibilidade de websites, correio eletrónico e outros serviços online. A sua configuração deve assegurar integridade, disponibilidade e resistência a falhas.

• Redundância: utilização de múltiplos servidores de nomes autoritativos, procurando diversidade de redes e localizações, de acordo com os princípios da RFC 2182 e com a infraestrutura efetivamente disponibilizada.
• DNSSEC: autenticação criptográfica das respostas DNS quando ativado e corretamente configurado na zona e na cadeia de confiança do domínio, conforme as RFC 4033, 4034 e 4035. O DNSSEC não encripta as consultas DNS.
• IPv4 e IPv6: suporte nos serviços e pontos de acesso em que estas tecnologias estejam disponibilizadas.
• Servidores autoritativos: separação das funções autoritativa e recursiva, evitando a exposição de serviços de recursão aberta.
• UDP e TCP na porta 53: utilização dos transportes necessários ao funcionamento correto do DNS, incluindo respostas truncadas e situações que exijam TCP.
• Registos SOA e TTL: configuração coerente dos parâmetros de zona, incluindo serial, refresh, retry, expire e cache, tendo em conta a RFC 2308 e as necessidades operacionais.
• Redução de exposição: limitação da divulgação desnecessária de informações sobre os serviços e respetivas versões, quando tecnicamente suportada.

3. Autenticação e Segurança do Correio Eletrónico

A segurança do correio eletrónico depende da conjugação de mecanismos de autenticação de domínios, proteção das comunicações, filtragem de mensagens e controlo da utilização dos serviços SMTP.

Entre os mecanismos utilizados ou suportados, conforme a configuração dos domínios e serviços, destacam-se:

• SPF (RFC 7208): identifica os servidores autorizados a utilizar determinado domínio no envelope SMTP.
• DKIM (RFC 6376): permite verificar assinaturas criptográficas associadas ao domínio assinante e a integridade das partes assinadas da mensagem.
• DMARC (RFC 7489): estabelece políticas e mecanismos de relatório com base no alinhamento do domínio visível no remetente com SPF ou DKIM.
• MTA-STS (RFC 8461): permite publicar políticas de TLS para entrega SMTP, aplicadas por servidores remetentes compatíveis que consigam obter e validar a política.
• TLS-RPT (RFC 8460): permite receber relatórios de falhas de negociação ou validação TLS provenientes de servidores compatíveis.
• DNS reverso (PTR): configuração de identificação reversa coerente para os endereços de envio, sempre que sob controlo da infraestrutura.
• Filtragem e reputação: utilização de mecanismos antispam, verificação de autenticação, políticas de envio e indicadores de reputação.
• Controlo de remetentes autenticados: aplicação de políticas destinadas a reduzir a utilização não autorizada de identidades de envio.

3.1. Filtragem antispam e proteção contra ameaças

A infraestrutura de correio eletrónico da WebDig Host utiliza o Rspamd como uma das tecnologias de análise e filtragem de mensagens.

Consoante o serviço e a configuração aplicável, estes mecanismos permitem:

• Analisar mensagens através de diferentes indicadores técnicos e de reputação;
• Verificar resultados dos mecanismos SPF, DKIM e DMARC;
• Aplicar políticas de filtragem e classificação de mensagens suspeitas;
• Identificar padrões associados a spam, phishing e utilização abusiva do correio eletrónico;
• Aplicar medidas de proteção e controlo de mensagens de acordo com as políticas configuradas.

Os mecanismos de filtragem podem produzir falsos positivos ou falsos negativos. Por esse motivo, a sua utilização não constitui uma garantia de deteção ou bloqueio de todas as mensagens maliciosas.

3.2. Segurança das comunicações SMTP

Os mecanismos TLS contribuem para proteger as comunicações entre sistemas de correio eletrónico quando suportados e corretamente negociados.

DANE para SMTP: tecnologia baseada em DNSSEC e registos TLSA, definida na RFC 7672, que pode reforçar a autenticação do transporte SMTP. A sua disponibilização depende de implementação e validação específicas, não sendo apresentada como universalmente ativa.

A configuração dos mecanismos de autenticação e segurança depende do domínio, dos servidores envolvidos e dos serviços contratados.

4. HTTPS, Certificados e TLS

Os serviços web suportados utilizam HTTPS com certificados digitais válidos, conforme a configuração e a gestão de cada domínio.

São privilegiadas versões e parâmetros TLS adequados, procurando proteger a confidencialidade e a integridade das comunicações entre os visitantes e os serviços alojados.

A emissão e renovação de certificados digitais podem ser automatizadas, mas dependem de condições técnicas, incluindo a resolução DNS, a validação do domínio e a disponibilidade dos mecanismos necessários.

4.1. HTTP Strict Transport Security (HSTS)

O HSTS pode ser configurado para indicar aos navegadores compatíveis que utilizem HTTPS nas visitas seguintes.

A opção includeSubDomains apenas deve ser ativada quando todos os subdomínios abrangidos estiverem preparados para utilizar HTTPS.

4.2. Atualização de pedidos inseguros

A diretiva upgrade-insecure-requests da Content Security Policy (CSP), quando utilizada, solicita ao navegador a atualização de pedidos de recursos para HTTPS.

Esta funcionalidade não substitui a correção das referências inseguras presentes no código dos websites.

5. Cabeçalhos HTTP de Segurança

Os cabeçalhos HTTP de segurança permitem reforçar determinados mecanismos de proteção disponibilizados pelos navegadores.

Consoante o website, a sua configuração e a compatibilidade da aplicação, podem ser utilizados os seguintes cabeçalhos:

• Strict-Transport-Security: reforça a utilização de HTTPS em navegadores compatíveis.
• X-Content-Type-Options: nosniff: limita a interpretação indevida de tipos MIME.
• Content-Security-Policy: permite restringir as origens de recursos e mitigar determinadas classes de ataques, incluindo alguns cenários de Cross-Site Scripting (XSS).
• Referrer-Policy: controla a informação de referência enviada durante a navegação.
• Permissions-Policy: define restrições de acesso a determinadas funcionalidades do navegador.
• X-Frame-Options: pode limitar a incorporação de páginas em frames. Em implementações modernas, a diretiva CSP frame-ancestors permite um controlo mais granular.

A configuração destes cabeçalhos deve ser testada individualmente, uma vez que determinadas políticas podem afetar funcionalidades legítimas de websites e aplicações.

Uma pontuação elevada numa ferramenta de avaliação de cabeçalhos HTTP não constitui, por si só, uma garantia de segurança.

6. WordPress e Infraestrutura de Alojamento

A infraestrutura de alojamento da WebDig Host utiliza tecnologias destinadas a facilitar a administração dos serviços, melhorar o desempenho e reforçar a proteção dos ambientes alojados.

6.1. Painel de gestão Enhance

O Enhance é utilizado como plataforma de administração dos serviços de alojamento.

Consoante o plano contratado e as permissões disponibilizadas, permite gerir websites, contas de correio eletrónico, bases de dados, ficheiros e outras funcionalidades associadas ao alojamento.

O acesso às funcionalidades administrativas está sujeito aos mecanismos de autenticação e às permissões configuradas para cada conta.

6.2. Servidor web e desempenho

• OpenLiteSpeed: servidor web utilizado na infraestrutura, com suporte a HTTP/2 e, quando ativo e operacional, HTTP/3 sobre QUIC.
• LiteSpeed Cache: tecnologia de cache que pode ser utilizada em websites compatíveis, incluindo instalações WordPress.
• Redis: tecnologia de armazenamento em memória que pode ser utilizada para cache de objetos, quando disponível e devidamente configurada.

A disponibilidade e o desempenho destas funcionalidades dependem do plano, da configuração do servidor, da aplicação e das condições técnicas de cada serviço.

As tecnologias de cache e HTTP/3 podem contribuir para melhorar o desempenho, mas não substituem as medidas de segurança da aplicação nem eliminam vulnerabilidades.

6.3. Proteção dos ambientes de alojamento

A WebDig Host utiliza mecanismos de proteção da infraestrutura, incluindo o cPFence, para apoiar a deteção e mitigação de determinadas ameaças aos serviços de alojamento.

Consoante a infraestrutura e as políticas de segurança aplicáveis, estes mecanismos podem incluir:

• Monitorização e análise de eventos de segurança;
• Identificação de padrões de atividade suspeita;
• Bloqueio automático de endereços IP associados a determinados comportamentos de risco;
• Aplicação de regras de proteção e controlo de acessos;
• Medidas de mitigação de tentativas de acesso indevido e outras atividades potencialmente maliciosas.

Os bloqueios de endereços IP podem ser aplicados automaticamente, de acordo com a natureza da atividade detetada, a sua gravidade e eventual reincidência.

A duração dos bloqueios é variável. Quando um cliente necessite de solicitar a análise de um bloqueio, deverá abrir um pedido através do Suporte Técnico.

Por razões de segurança, não são divulgados publicamente os critérios internos de deteção, os limiares de bloqueio ou outras configurações que possam comprometer a eficácia dos mecanismos de proteção.

6.4. Atualizações e manutenção

A atualização regular de sistemas, aplicações e componentes é uma medida essencial de redução do risco.

A WebDig Host promove a manutenção dos componentes de infraestrutura sob a sua administração.

A atualização de WordPress, temas, plugins e integrações instaladas pelo cliente é da responsabilidade deste, salvo quando exista um serviço de manutenção ou gestão contratado que inclua expressamente essas operações.

6.5. Cópias de segurança

As estratégias de cópia de segurança e recuperação de dados dependem das características e condições do serviço contratado.

Os clientes devem verificar as funcionalidades de backup incluídas no respetivo plano e manter cópias adicionais dos dados críticos sempre que tal seja adequado às suas necessidades.

A existência de cópias de segurança não elimina todos os riscos de perda de dados nem substitui uma estratégia de continuidade e recuperação ajustada à importância da informação.

7. Aplicação aos Serviços dos Clientes

As medidas de segurança são aplicadas de acordo com a infraestrutura utilizada, as funcionalidades incluídas no plano e as necessidades técnicas do cliente.

Algumas funcionalidades exigem configuração específica, validação de compatibilidade ou intervenção sobre DNS, aplicações e sistemas administrados por terceiros.

Não deve ser presumido que todas as tecnologias ou funcionalidades descritas nesta página estejam incluídas, disponíveis ou ativas em todos os serviços comercializados pela WebDig Host.

As características concretas de cada serviço são determinadas pelas respetivas especificações e condições contratuais.

8. Monitorização e Melhoria Contínua

A WebDig Host recorre a mecanismos de registo, alertas, verificações técnicas e análise de eventos para apoiar a deteção de falhas, atividades suspeitas e incidentes de segurança.

O âmbito, a profundidade e a periodicidade da monitorização dependem dos serviços, da arquitetura utilizada e dos riscos identificados.

A informação recolhida pode contribuir para:

• Identificar falhas técnicas e comportamentos anómalos;
• Detetar tentativas de acesso indevido;
• Apoiar a investigação de incidentes;
• Avaliar a eficácia das medidas de proteção;
• Promover melhorias nas configurações e procedimentos de segurança.

A monitorização não garante a deteção imediata de todas as ameaças nem impede a ocorrência de incidentes.

9. Responsabilidade Partilhada

A segurança dos serviços digitais depende da colaboração entre a WebDig Host e os respetivos clientes.

9.1. Responsabilidades da WebDig Host

• Administrar e proteger os componentes de infraestrutura sob a sua responsabilidade;
• Aplicar medidas de segurança adequadas aos serviços contratados;
• Manter os sistemas sob a sua gestão de acordo com os procedimentos técnicos aplicáveis;
• Gerir incidentes relacionados com a infraestrutura e os serviços administrados;
• Disponibilizar os canais de suporte e comunicação de segurança previstos.

9.2. Responsabilidades dos clientes

• Proteger as credenciais de acesso e gerir adequadamente os utilizadores;
• Utilizar palavras-passe robustas e mecanismos adicionais de autenticação quando disponíveis;
• Manter atualizados os websites, plugins, temas e aplicações sob a sua gestão;
• Avaliar a segurança das integrações e dos componentes de terceiros;
• Configurar corretamente permissões e acessos;
• Comunicar atividades suspeitas ou possíveis incidentes de segurança;
• Manter estratégias adicionais de proteção e recuperação de dados quando necessárias.

A distribuição concreta das responsabilidades depende do serviço contratado e das operações de administração assumidas por cada parte.

Para informação adicional, consulta os Termos e Condições e o Acordo de Tratamento de Dados.

10. Contactos e Comunicação de Incidentes

Para questões técnicas, suspeitas de incidentes ou comunicações relacionadas com segurança, utiliza os canais oficiais disponibilizados na Área de Cliente da WebDig Host.

As comunicações devem incluir, sempre que possível, uma descrição objetiva da situação, a identificação do serviço afetado e os elementos técnicos necessários à respetiva análise.

Por motivos de segurança, não devem ser incluídas palavras-passe ou outras credenciais de autenticação no conteúdo dos pedidos de suporte.