Documentação
Como cada ferramenta do HTTPFrequency funciona, como usar passo a passo e o que significam os termos técnicos. Escolha uma ferramenta no menu ou comece pela visão geral.
Visão geral
| Ferramenta | Onde roda | Limite | Guarda dados? |
|---|---|---|---|
| Análise de URLs | Servidor | Sem limite fixo | Sim: histórico para o CSV |
| Consulta DNS | Servidor (resolvedores públicos) | 30 por minuto | Não |
| Risco de site | Servidor | 10 por minuto | Não |
| Cabeçalhos HTTP | Servidor | 20 por minuto | Não |
| Verificador de e-mail | Servidor (só consultas DNS) | 20 por minuto | Não |
| TLS e certificado | Servidor | 10 por minuto | Não |
| Redirecionamentos | Servidor | 20 por minuto | Não |
| Sub-redes CIDR | Seu navegador | Sem limite | Não: nada é enviado |
| Decodificador JWT | Seu navegador | Sem limite | Não: nada é enviado |
- Sem cadastro. Todas as ferramentas são gratuitas e abertas.
- Nada é gravado nas ferramentas de rede. Só a análise de URLs guarda o resultado, para o download em CSV.
- Proteção contra abuso. As ferramentas que conectam a um endereço só aceitam IPs públicos e portas comuns, inclusive depois de redirecionamentos (proteção contra SSRF).
- Sub-redes e JWT rodam no seu navegador. O que você digita nelas não sai do seu computador.
Testa várias URLs ao mesmo tempo e mostra quais respondem mais rápido, com código HTTP, tamanho da resposta e erros.
Como usar
- No topo da página, cole uma URL por linha (com ou sem
https://). - Ajuste a concorrência (quantas URLs ao mesmo tempo) e o timeout (segundos de espera por URL), ou deixe os padrões.
- Clique em executar análise ou use Ctrl + Enter.
- Veja o ranking do mais rápido para o mais lento e os erros. Baixe o CSV para guardar o resultado.
Como funciona
Entrada de URLs
Insira uma ou mais URLs no campo de texto, uma por linha.
O sistema aceita endereços com ou sem https://
e remove duplicatas automaticamente.
Concorrência
Define quantas requisições são disparadas ao mesmo tempo.
O valor padrão é 10 — aumente para testar
mais URLs em paralelo, ou diminua para não sobrecarregar
servidores mais lentos.
Timeout
Tempo máximo em segundos que o sistema aguarda a resposta
de cada URL. O padrão é 10s — reduza para
identificar sites lentos mais rapidamente, ou aumente
para dar mais tempo a servidores instáveis.
Coleta de Métricas
Para cada URL são medidos: tempo de resposta, código HTTP, bytes recebidos e URL final após redirecionamentos.
Ranking e Relatório
Os resultados são ordenados por tempo de resposta, gerando um ranking das URLs mais rápidas. Os dados ficam disponíveis para download em CSV.
Limites e privacidade: É a única ferramenta que guarda histórico: os resultados ficam salvos para o download em CSV.
Termos técnicos
- Latência
- Tempo entre enviar o pedido e receber a resposta.
- Código HTTP
- Número da resposta: 2xx sucesso, 3xx redirecionamento, 4xx erro de quem pediu, 5xx erro do servidor.
- Timeout
- Tempo máximo de espera antes de desistir de uma URL.
- Concorrência
- Quantos pedidos ficam em andamento ao mesmo tempo.
- Assíncrono
- Dispara vários pedidos sem esperar um terminar para começar o outro.
- CSV
- Planilha em texto, que abre no Excel ou no Google Planilhas.
Mostra para onde um domínio aponta (IPs, e-mail, servidores de nomes) e, a partir de um IP, qual nome está ligado a ele.
Como usar
- Em Ferramentas, abra Consulta DNS.
- Na aba DNS → IP, digite um domínio (
exemplo.com.br) e clique em Consultar. - Na aba IP → DNS, digite um IPv4 ou IPv6 público para ver o nome ligado a ele (PTR).
- Confira se o FCrDNS está confirmado: o nome aponta de volta para o mesmo IP.
Como funciona
Entrada
Digite um domínio (exemplo.com.br) ou um endereço IP. Se vier com https:// ou com um caminho, o excesso é removido, e domínios com acentos são convertidos para o formato internacional (punycode).
Consulta ao DNS
O servidor pergunta aos resolvedores públicos da Cloudflare (1.1.1.1) e do Google (8.8.8.8) pelos registros A, AAAA, CNAME, MX, NS e TXT. Cada resposta traz o TTL: quanto tempo, em segundos, ela pode ficar em cache.
DNS reverso (PTR)
Para um IP, a consulta vai ao registro PTR, guardado nos domínios especiais in-addr.arpa (IPv4) e ip6.arpa (IPv6), que ligam o endereço a um nome.
Confirmação FCrDNS
O nome encontrado é consultado de volta. Se ele aponta para o mesmo IP, o DNS reverso está confirmado. Servidores de e-mail costumam exigir isso antes de aceitar mensagens, porque um PTR falso é fácil de configurar.
Limites e privacidade
IPs privados e reservados são recusados, pois não têm DNS reverso público. Há um limite de 30 consultas por minuto, e nenhuma consulta é gravada em banco de dados.
Limites e privacidade: Limite de 30 consultas por minuto. IPs privados são recusados, e nada é gravado em banco de dados.
Termos técnicos
- DNS
- Sistema que traduz nomes (exemplo.com.br) em endereços IP.
- Resolvedor
- Servidor que faz a consulta DNS por você, como 1.1.1.1 e 8.8.8.8.
- TTL
- Por quantos segundos uma resposta pode ficar guardada em cache.
- A / AAAA
- Endereço IPv4 / IPv6 do domínio.
- CNAME
- Apelido: o nome aponta para outro nome.
- MX
- Servidores que recebem e-mail do domínio, com prioridade.
- NS
- Servidores de nomes responsáveis pelo domínio.
- TXT
- Texto livre, usado por SPF, DKIM e verificações de propriedade.
- PTR
- Nome associado a um IP (DNS reverso).
- FCrDNS
- Confirmação de que o nome do PTR aponta de volta para o mesmo IP.
- Punycode
- Forma como domínios com acento são escritos (xn--...).
Dá um índice de risco de 0 a 100 para um link ou domínio e explica cada motivo: listas de bloqueio, idade do domínio, imitação de marcas, certificado, redirecionamentos e autenticação de e-mail.
Como usar
- Em Ferramentas, abra Risco de site.
- Cole o link suspeito ou só o domínio (
site-suspeito.com.br) e clique em Verificar. - Veja o selo de risco (baixo, médio ou alto) e o conselho logo abaixo.
- Leia cada motivo. Os itens em
[falha]são os que mais pesam.
Como funciona
Entrada e conexão segura
Aceita URL ou domínio. Como nas outras ferramentas, só portas comuns e IPs públicos: endereços internos são recusados, inclusive depois de redirecionamentos.
Listas de bloqueio
Perguntamos o domínio a dois resolvedores DNS que filtram ameaças: o Quad9 (9.9.9.9) e o Cloudflare for Families (1.1.1.2). Se eles bloqueiam o que um resolvedor comum responde, o domínio está marcado como malware ou phishing. Esse sinal sozinho já deixa o risco alto.
Idade e nome do domínio
A data de registro vem do RDAP, o registro público de domínios. Domínios com menos de 30 dias são um sinal forte, porque golpes costumam usar endereços recém-criados. No nome, procuramos marcas usadas fora do domínio oficial (como itau-seguro.com), punycode, IP no lugar do nome e extensões muito usadas em golpes.
Conexão
Abrimos o endereço como um navegador, sem baixar a página: conferimos HTTPS e certificado, se os redirecionamentos levam para outro domínio e a nota dos cabeçalhos de segurança. Também vemos se o domínio publica SPF e DMARC.
Índice de 0 a 100
Cada sinal soma pontos de risco: lista de bloqueio 60, imitação de marca 35, domínio com menos de 30 dias 25, certificado inválido 25, só HTTP 15, punycode 15, entre outros. Até 19 é baixo, de 20 a 49 é médio, 50 ou mais é alto.
Limites e privacidade: limite de 10 consultas por minuto. O link é aberto pelo nosso servidor, não pelo seu navegador, e nada é gravado em banco de dados. O índice é um indicador: um site novo pode ser legítimo, e um golpe pode passar por todos os testes.
Termos técnicos
- Phishing
- Site falso que imita outro para roubar senhas ou dados de cartão.
- Malware
- Programa malicioso que um site pode tentar instalar.
- Typosquatting
- Domínio com erro de digitação proposital, como gooogle.com ou paypa1.com.
- Punycode
- Forma de escrever letras de outros alfabetos (xn--). Pode imitar letras latinas, como o “a” cirílico em “apple”.
- RDAP
- Registro público com dados de cada domínio, como a data de criação. Substitui o WHOIS.
- Resolvedor com filtro
- Servidor DNS que se recusa a responder domínios conhecidos por ataques.
- Domínio registrável
- A parte que alguém compra: em login.exemplo.com.br, é exemplo.com.br.
- TLD
- A extensão do domínio: .com, .br, .xyz.
- SPF / DMARC
- Registros que dizem quem pode enviar e-mail pelo domínio e o que fazer com mensagens falsas.
Dá uma nota de A a F para os cabeçalhos de segurança que um site envia e explica o que falta e por quê.
Como usar
- Em Ferramentas, abra Cabeçalhos HTTP.
- Digite a URL ou o domínio e clique em Auditar.
- Leia cada item:
[ok],[atenção]ou[falha], com o valor que o site enviou. - Corrija no servidor ou na CDN os itens em falha e audite de novo.
Como funciona
Entrada e validação
Digite uma URL ou um domínio. O servidor só aceita http e https, nas portas 80, 443, 8080 e 8443, e recusa endereços com usuário e senha.
Resolução segura
O nome é resolvido pelos resolvedores públicos (1.1.1.1 e 8.8.8.8). Se algum IP for privado ou reservado, a consulta é recusada. Isso impede que a ferramenta seja usada para alcançar redes internas (ataque conhecido como SSRF). A conexão vai para o IP já validado, e não para o nome.
Uma requisição, sem baixar a página
O servidor faz uma requisição GET, segue até 5 redirecionamentos conferindo cada salto do mesmo jeito e lê só os cabeçalhos da resposta final. O corpo da página nunca é baixado.
Nota de A a F
Cada cabeçalho vale pontos: CSP 25, HSTS 20, proteção contra clickjacking, nosniff e Referrer-Policy 10 cada, e os demais 5 cada. Ausente não pontua, problema parcial vale metade. A nota vai de A (90 ou mais) a F (abaixo de 40).
Limites e privacidade
Há um limite de 20 consultas por minuto. Nenhuma consulta é gravada em banco de dados. A nota é um indicador do que a resposta envia, não uma avaliação completa da segurança do site.
Limites e privacidade: Limite de 20 consultas por minuto. Só os cabeçalhos são lidos; a página nunca é baixada.
Termos técnicos
- Cabeçalho HTTP
- Informação extra que o servidor manda junto com a página.
- HSTS
- Obriga o navegador a usar HTTPS nas próximas visitas.
- CSP
- Lista de onde scripts, imagens e estilos podem vir. Principal defesa contra XSS.
- XSS
- Ataque que injeta script malicioso numa página.
- Clickjacking
- Embutir o site num iframe invisível para enganar cliques.
- X-Frame-Options
- Impede que outros sites embutam a página.
- nosniff
- Impede o navegador de adivinhar o tipo de um arquivo.
- Referrer-Policy
- Controla quanto da URL anterior é enviado ao próximo site.
- Permissions-Policy
- Liga ou desliga câmera, microfone, localização e outros recursos.
- COOP / CORP
- Isolam a janela e os recursos do site de outras origens.
- Secure / HttpOnly / SameSite
- Proteções de cookie: só HTTPS, fora do alcance de scripts e sem envio entre sites.
- SSRF
- Ataque que usa um servidor para alcançar redes internas. A ferramenta bloqueia isso.
Confere se um domínio está protegido contra e-mails falsificados em seu nome (SPF, DKIM e DMARC) e se a entrega usa TLS.
Como usar
- Em Ferramentas, abra E-mail.
- Digite o domínio, que é a parte depois do
@. - Se souber o seletor DKIM, informe. Sem ele, testamos os mais comuns.
- Veja a nota e o que ajustar em cada registro.
Como funciona
Entrada
Digite o domínio do e-mail (a parte depois do @). O seletor DKIM é opcional.
SPF
Lê o registro TXT que lista os servidores autorizados a enviar e-mail pelo domínio. Conferimos o final (-all é o ideal; ~all só marca; +all não bloqueia ninguém) e contamos as consultas DNS dos include: acima de 10, o SPF dá erro permanente.
DKIM
O DKIM assina as mensagens, e a chave pública fica em seletor._domainkey.dominio. Como o seletor não é descobrível, testamos os mais comuns (default, google, selector1, k1, s1 e outros). Se nenhum aparecer, o DKIM pode existir com outro nome: informe o seu seletor. Também estimamos o tamanho da chave RSA: 1024 bits é considerada fraca.
DMARC
Lê _dmarc.dominio. O campo p define o que fazer com mensagens que falham: none só monitora, quarantine manda para o spam e reject recusa.
Extras e nota
MTA-STS e TLS-RPT protegem a entrega contra rebaixamento de TLS (opcionais). A nota soma SPF 30, DMARC 35, DKIM 25 e 5 para cada extra. Só consultamos DNS: não conectamos ao domínio e nada é gravado em banco de dados.
Limites e privacidade: Só consultamos DNS: não conectamos ao domínio e nada é gravado em banco de dados.
Termos técnicos
- Spoofing
- Mandar e-mail se passando por outro domínio.
- SPF
- Lista de servidores autorizados a enviar e-mail pelo domínio.
- DKIM
- Assinatura que prova que a mensagem não foi alterada.
- Seletor DKIM
- Nome que indica onde está a chave DKIM (seletor._domainkey.dominio).
- DMARC
- Política para mensagens que falham em SPF e DKIM, com relatórios.
- p=none / quarantine / reject
- No DMARC: só monitorar, mandar para o spam ou recusar.
- MX
- Servidores que recebem o e-mail do domínio.
- MTA-STS
- Exige TLS na entrega de e-mail para o domínio.
- TLS-RPT
- Relatórios de falhas de TLS na entrega.
Analisa a conexão HTTPS de um site: certificado, versões de TLS aceitas, cifra e se a troca de chaves já é pós-quântica.
Como usar
- Em Ferramentas, abra TLS e certificado.
- Digite o domínio (ou
dominio:8443) e clique em Analisar. - Veja a nota, a visão pós-quântica e os alertas.
- Confira as versões aceitas, os dados do certificado e a cadeia que o servidor envia.
Como funciona
Entrada e conexão segura
Digite um domínio (ou dominio:8443). Só as portas 443 e 8443 são aceitas. O nome é resolvido pelos resolvedores públicos e, como nas outras ferramentas, IPs privados ou reservados são recusados e a conexão vai direto ao IP já validado.
Certificado e confiança
Fazemos o handshake TLS duas vezes: uma validando como um navegador (cadeia até uma autoridade confiável e nome do site) e outra sem validar, para conseguir mostrar o certificado mesmo quando ele é inválido. Lemos emissor, validade, nomes (SAN), chave, assinatura e a cadeia que o servidor envia.
Versões aceitas
Para cada versão (TLS 1.0, 1.1, 1.2 e 1.3) enviamos uma mensagem de abertura (ClientHello) e lemos só a resposta do servidor. Nenhum dado é trocado e o handshake não é concluído. TLS 1.0 e 1.1 foram descontinuados em 2021 e devem estar desativados.
Visão pós-quântica
Oferecemos só a troca de chaves híbrida X25519MLKEM768 (ML-KEM, padronizado pelo NIST, junto com o X25519 clássico). Se o servidor aceita, o tráfego gravado hoje fica protegido contra quem pretende decifrá-lo no futuro com um computador quântico. A assinatura dos certificados ainda é clássica em toda a web.
Nota e limites
Pesos: confiança do certificado 30, validade 15, TLS 1.3 15, protocolos antigos desativados 15, cifra 10, chave e assinatura 10 e troca de chaves pós-quântica 5. Certificado que o navegador bloqueia recebe F. Limite de 10 consultas por minuto, e nada é gravado em banco de dados.
Limites e privacidade: Limite de 10 consultas por minuto. Só o handshake é feito; nenhum dado HTTP é trocado.
Termos técnicos
- TLS
- Protocolo que cifra a conexão HTTPS.
- Certificado
- Documento digital que prova que o servidor é mesmo aquele domínio.
- Autoridade certificadora
- Empresa confiável que emite certificados (Let's Encrypt, por exemplo).
- Cadeia
- Certificado do site, intermediário e raiz confiável.
- SAN
- Lista de nomes que o certificado cobre.
- SNI
- Nome do site enviado no início da conexão, para o servidor escolher o certificado.
- Cifra
- Conjunto de algoritmos que protege os dados da conexão.
- AEAD
- Cifras que cifram e autenticam juntas (GCM, ChaCha20).
- Sigilo futuro
- Chaves descartáveis por conexão: vazar a chave do servidor não abre o tráfego antigo.
- ALPN
- Combina o protocolo usado depois do TLS (h2 = HTTP/2).
- SCT
- Prova de que o certificado foi registrado em logs públicos (Certificate Transparency).
- ML-KEM
- Troca de chaves resistente a computadores quânticos (FIPS 203).
- X25519MLKEM768
- Troca de chaves híbrida: ML-KEM junto com o X25519 clássico.
Segue uma URL salto a salto até o destino final e mostra o código de status, o destino e o tempo de cada etapa.
Como usar
- Em Ferramentas, abra Redirecionamentos.
- Digite a URL. Comece com
http://para ver o salto até o HTTPS. - Clique em Rastrear e leia a tabela de saltos.
- Confira os alertas: rebaixamento para HTTP, troca de domínio, ciclos ou saltos demais.
Como funciona
Entrada
Digite uma URL. Sem esquema, usamos https://.
Salto a salto
O servidor faz a requisição, lê o código de status e o cabeçalho Location e repete, até 10 vezes. Cada salto passa pela mesma validação contra SSRF: um redirecionamento para um endereço interno é barrado naquele ponto.
O que cada código significa
301 e 308 são permanentes; 302, 303 e 307 são temporários. Se a mudança é definitiva, o ideal é 301 ou 308, que os buscadores entendem como troca de endereço.
Alertas
Avisamos quando há rebaixamento de HTTPS para HTTP, mudança de domínio, ciclo de redirecionamentos ou mais de 3 saltos, que atrasam o carregamento.
Limites e privacidade
Limite de 20 consultas por minuto. Nada é gravado em banco de dados. O corpo das páginas nunca é baixado.
Limites e privacidade: Limite de 20 consultas por minuto. O corpo das páginas nunca é baixado.
Termos técnicos
- Redirecionamento
- Resposta que manda o navegador para outro endereço.
- Location
- Cabeçalho com o próximo endereço.
- 301 / 308
- Redirecionamento permanente.
- 302 / 303 / 307
- Redirecionamento temporário.
- Salto
- Cada etapa até chegar ao destino final.
- Rebaixamento
- Ir de HTTPS para HTTP, perdendo a criptografia.
- Ciclo
- Redirecionamentos que voltam para um endereço já visitado.
Calcula rede, máscara e faixa de hosts e divide um bloco IPv4 ou IPv6 em sub-redes. Roda no seu navegador, sem enviar nada.
Como usar
- Em Ferramentas, abra Sub-redes CIDR.
- Digite o bloco:
192.168.1.0/24,192.168.1.10 255.255.255.0ou2001:db8::/48. - Clique em Calcular e veja rede, broadcast, primeiro e último host e o tipo de endereço.
- Em Dividir em sub-redes, escolha o novo prefixo para ver cada sub-rede.
Como funciona
Leitura do endereço
Aceita IPv4 com prefixo (/24) ou máscara decimal (255.255.255.0) e IPv6 com prefixo. A máscara precisa ter todos os bits 1 seguidos, antes dos bits 0.
Conta com bits
O prefixo diz quantos bits do começo identificam a rede. O endereço de rede é o IP com os bits de host zerados; o broadcast é o mesmo com os bits de host em 1.
Hosts utilizáveis
Em IPv4 descontamos o endereço de rede e o de broadcast (total − 2). Um /31 tem 2 hosts (enlace ponto a ponto, RFC 3021) e um /32 é um único endereço. IPv6 não tem broadcast.
Tipo de endereço
Comparamos o bloco com as faixas especiais: privadas (RFC 1918), CGNAT, loopback, link-local, documentação e multicast; em IPv6, também ULA e link-local.
Divisão em sub-redes
Cada bit a mais no prefixo dobra o número de sub-redes e corta pela metade o tamanho de cada uma. Mostramos até 256 sub-redes. Tudo roda no seu navegador.
Limites e privacidade: Não há limite de uso: o cálculo é feito no seu navegador e nada é enviado ao servidor.
Termos técnicos
- IP
- Endereço de um dispositivo na rede: IPv4 (32 bits) ou IPv6 (128 bits).
- CIDR
- Notação endereço/prefixo, como 192.168.1.0/24.
- Prefixo
- Quantos bits iniciais identificam a rede. /24 = 24 bits de rede.
- Máscara
- O prefixo escrito como endereço: /24 = 255.255.255.0.
- Máscara curinga
- Inverso da máscara, usado em ACLs e roteadores: 0.0.0.255.
- Endereço de rede
- Primeiro endereço do bloco; identifica a rede.
- Broadcast
- Último endereço de um bloco IPv4; fala com todos os hosts.
- Host
- Dispositivo que recebe um endereço da faixa.
- Sub-rede
- Pedaço de uma rede maior.
- RFC 1918
- Faixas privadas: 10/8, 172.16/12 e 192.168/16.
- CGNAT
- Faixa 100.64/10, usada por provedores para compartilhar IPs públicos.
- ULA
- Endereços IPv6 privados (fc00::/7).
Mostra o conteúdo de um JSON Web Token, explica cada campo e aponta configurações arriscadas. Também verifica a assinatura com o segredo ou a chave pública.
Como usar
- Em Ferramentas, abra Decodificador JWT.
- Cole o token (pode vir com
Bearerna frente) e clique em Decodificar, ou use Usar exemplo. - Leia os alertas, o header e o payload, com o significado de cada campo e as datas convertidas.
- Para confirmar que o token é legítimo, digite o segredo (HS256...) ou cole a chave pública (RS256, ES256...) e clique em Verificar.
Como funciona
Três partes
Um JWT é header.payload.assinatura, cada parte em base64url. Header e payload são só codificados, não criptografados: qualquer pessoa com o token consegue ler.
Decodificação local
Tudo acontece no seu navegador. O token, o segredo e a chave pública não são enviados ao servidor do HTTPFrequency.
Alertas
Apontamos alg: none, HMAC (que depende de um segredo forte), falta de exp, token expirado ou longo demais, falta de iss/aud, chaves indicadas pelo próprio token (jku, x5u, jwk), kid suspeito e campos sensíveis no payload.
Verificação da assinatura
Com o Web Crypto do navegador, recalculamos a assinatura de header.payload com o segredo ou a chave pública e comparamos. Suporta HS, RS, PS e ES (256, 384 e 512).
Tokens criptografados
Um JWE tem 5 partes e o conteúdo é cifrado: sem a chave do destinatário, só o header pode ser lido.
Limites e privacidade: Nada sai do seu navegador: nem o token, nem o segredo, nem a chave. Mesmo assim, não cole tokens de produção válidos em sites que você não conhece.
Termos técnicos
- JWT
- Token compacto que carrega dados assinados, muito usado em login e APIs.
- JWS / JWE
- JWT assinado (3 partes, legível) / JWT criptografado (5 partes).
- Header
- Primeira parte: diz o algoritmo (alg) e o tipo do token.
- Payload
- Segunda parte: os dados (claims). É legível por qualquer pessoa.
- Assinatura
- Terceira parte: prova que header e payload não foram alterados.
- Claim
- Cada campo do payload, como sub, exp e roles.
- Base64url
- Codificação de texto usada nas partes do token. Não é criptografia.
- HS256
- Assinatura com segredo compartilhado (HMAC + SHA-256).
- RS256 / ES256
- Assinatura com chave privada (RSA / curva elíptica), validada com a pública.
- alg: none
- Token sem assinatura. Nunca deve ser aceito.
- kid
- Id da chave usada na assinatura.
- exp / iat / nbf
- Expira em / emitido em / não vale antes de (segundos desde 1970).
- iss / aud / sub
- Quem emitiu / para quem vale / a quem se refere.
- JWKS
- Lista pública de chaves de um emissor, usada para validar tokens.