1. Para que o Exposed serve
O Exposed analisa uma página pública por execução, a partir do HTML e dos cabeçalhos HTTP recebidos. As categorias são metadados, acessibilidade, performance observável, rastreadores identificáveis e cabeçalhos públicos de segurança.
O serviço não é um pentest, um scanner de invasão ou uma certificação de segurança, acessibilidade ou conformidade. Não tenta explorar falhas, acessar áreas autenticadas ou percorrer todas as páginas de um site.
2. Uso responsável
Use a ferramenta para avaliar páginas próprias ou páginas públicas cuja consulta você possa realizar legitimamente. Respeite as regras de acesso do site de destino e os direitos sobre o conteúdo analisado.
- Não tente acessar redes internas, serviços locais, áreas restritas ou conteúdo protegido por autenticação.
- Não tente contornar bloqueios, limites de uso ou validações do Exposed ou do site analisado.
- Não use solicitações repetidas ou automação abusiva para sobrecarregar o serviço ou terceiros.
- Não envie credenciais, tokens, dados pessoais ou informações confidenciais em URLs.
- Não apresente os resultados como prova de invasão, certificação ou garantia de conformidade.
3. Endereços aceitos e limites
São aceitas URLs públicas HTTP ou HTTPS, nas portas padrão, sem usuário ou senha embutidos. Destinos locais, privados ou reservados são bloqueados, inclusive quando aparecem após redirecionamentos.
A busca usa somente GET, aceita até quatro redirecionamentos e tem limite de 15 segundos. O corpo transferido e o HTML descomprimido têm limite de 2 MiB cada. Conteúdo não HTML e respostas que ultrapassem esses limites podem não gerar relatório.
Há um limite básico compartilhado de 20 solicitações de análise por minuto e três análises simultâneas por processo. O serviço pode recusar temporariamente novas solicitações. Esses limites não representam uma reserva de capacidade por pessoa.
4. Como interpretar um relatório
O relatório representa a resposta recebida em um momento específico, a partir da infraestrutura do Exposed. Conteúdo, cache, localização e proteção contra robôs podem alterar o que é observado. Uma página de erro ou de bloqueio também pode retornar HTML e ser analisada; confira o status HTTP e a URL final.
As verificações são estáticas e podem produzir falsos positivos ou deixar de identificar problemas. JavaScript não é executado. Não são coletados Lighthouse, axe-core, Core Web Vitals, contraste visual, navegação por teclado ou comportamento real de visitantes.
Um host externo ou uma assinatura de tecnologia é um indício, não uma confirmação de rastreamento, coleta de dados ou vulnerabilidade. A presença de um cabeçalho não comprova que sua configuração seja adequada.
5. O significado das pontuações
Cada verificação pontuada recebe 100 para verificado, 50 para atenção ou 0 para problema. Informações e verificações não executadas ficam fora do cálculo. A nota de uma categoria é a média de suas verificações pontuadas; a nota geral é a média das categorias com pontuação.
Categorias sem verificações pontuadas, como rastreadores, apresentam apenas observações. Uma nota alta não significa ausência de problemas. Leia as evidências, recomendações e limitações antes de decidir por uma alteração técnica.
6. Histórico e compartilhamento
O histórico armazena até cinco relatórios neste navegador, sem conta ou sincronização. Ele pode ser apagado pelo usuário ou pelo navegador. Exporte os resultados que precisar conservar.
Ao compartilhar resumos, arquivos JSON ou impressões, mantenha o contexto da análise, a data e suas limitações. Revise URLs e evidências para evitar divulgar informações sensíveis. A página de Privacidade explica o processamento e o armazenamento dos dados.
7. Disponibilidade e mudanças
A análise depende da rede, da infraestrutura e da resposta do site de destino. Não há garantia de que toda URL pública possa ser analisada ou de que o serviço permaneça disponível sem interrupções.
Recursos, critérios e limites podem ser ajustados conforme o projeto evolui. Esta página deve acompanhar essas mudanças. Falhas de acesso e verificações indisponíveis não devem ser interpretadas como aprovação ou reprovação do site.