Questão de Segurança da Informação — Tópicos Mesclados de Protocolos Seguros — FCC 2025

HTTP Security Headers: CSP e HSTS

Gabarito: letra B. O HSTS (HTTP Strict Transport Security) força o navegador a usar exclusivamente HTTPS em conexões futuras com o domínio, prevenindo ataques de downgrade para HTTP; o CSP (Content Security Policy) define uma lista de permissões de origens para carregamento de conteúdo (scripts, CSS, imagens), mitigando ataques de injeção como XSS. A alternativa B descreve corretamente essas duas finalidades.

Os cabeçalhos de segurança HTTP são respostas enviadas pelo servidor que instruem o navegador a adotar comportamentos defensivos. Eles não criptografam dados nem substituem outras camadas de proteção, mas adicionam controles específicos no cliente. O HSTS, por exemplo, informa ao navegador que o site deve ser acessado somente via HTTPS por um período determinado, evitando que um atacante intercepte a primeira conexão e a rebaixe para HTTP (ataque de downgrade). Já o CSP atua como uma política de restrição de origens: o servidor declara quais domínios são fontes confiáveis para scripts, estilos, imagens e outros recursos, bloqueando a execução de conteúdo não autorizado — o que neutraliza a maioria dos vetores de XSS e injeção de dados.

Na prática, um servidor web pode enviar o cabeçalho Strict-Transport-Security: max-age=31536000; includeSubDomains para que o navegador memorize o uso obrigatório de HTTPS por um ano, inclusive em subdomínios. Já o Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.exemplo.com restringe a execução de scripts apenas à própria origem e a um CDN específico. Se um atacante tentar injetar um script malicioso de outra origem, o navegador o bloqueia automaticamente.

A distinção crucial é que o HSTS protege o canal de comunicação (transporte), enquanto o CSP protege o conteúdo renderizado (aplicação). O HSTS não impede SQL Injection nem substitui um WAF; o CSP não criptografa dados em repouso nem bloqueia força bruta. Essas confusões são exatamente o que a banca explora nas alternativas incorretas.

Alternativa A — ❌ Incorreta

Afirma que o CSP substitui um WAF e que o HSTS elimina vulnerabilidades de SQL Injection. O CSP é uma camada de defesa no navegador contra XSS e injeção de conteúdo, mas não substitui um WAF, que analisa o tráfego HTTP em busca de padrões de ataque. O HSTS apenas força HTTPS; não tem relação com SQL Injection, que é uma vulnerabilidade de consulta a banco de dados.

Alternativa B — ✅ Correta ⟵ GABARITO

Descreve com precisão as duas finalidades: o HSTS força o uso de HTTPS em conexões futuras, prevenindo downgrade para HTTP; o CSP restringe as fontes de conteúdo executável (scripts, CSS etc.), prevenindo ataques de injeção como XSS. É a única alternativa que apresenta corretamente o papel de cada cabeçalho.

Alternativa C — ❌ Incorreta

Afirma que o CSP bloqueia ataques de força bruta e que o HSTS impede acesso a redes Wi-Fi públicas. O CSP não tem relação com força bruta (tentativa de adivinhar senhas); ele controla origens de conteúdo. O HSTS atua no navegador, não na rede; não impede conexões a Wi-Fi públicas, apenas garante que, ao acessar o domínio, o navegador use HTTPS.

Alternativa D — ❌ Incorreta

Afirma que o CSP permite carregamento de recursos cross-origin, reduzindo risco de exfiltração de dados, e que o HSTS assegura que cookies sejam transmitidos apenas por canais criptografados. O CSP, por padrão, restringe origens; permitir cross-origin é uma configuração que aumenta o risco, não o reduz. O HSTS não controla cookies diretamente; o atributo Secure do cookie é que garante transmissão apenas via HTTPS.

Alternativa E — ❌ Incorreta

Afirma que ambos os cabeçalhos criptografam dados em repouso. O HSTS e o CSP são cabeçalhos de resposta HTTP que atuam no transporte e no conteúdo renderizado; não realizam criptografia de dados armazenados. Criptografia em repouso é responsabilidade de mecanismos de criptografia de disco, banco de dados ou arquivos.

Gabarito: letra B