Aljustrel

Quem vê mal amplia a página com dois dedos no telemóvel. Se o site o bloqueia, o texto fica pequeno demais para ser lido.

Como corrigir

1. Na etiqueta <meta name="viewport"> do tema, retire user-scalable=no e maximum-scale=1.
2. Deixe apenas: width=device-width, initial-scale=1.

Regra: Nenhuma página da amostra impede a ampliação (meta viewport sem user-scalable=no nem maximum-scale abaixo de 2). (WCAG 2.1, 1.4.4 (AA))

Um campo sem rótulo é anunciado apenas como «editar texto». Quem usa leitor de ecrã não sabe o que escrever lá.

Como corrigir

1. Associe a cada campo um <label for="…"> visível.
2. Se o desenho não permitir um rótulo visível, use aria-label com o nome do campo.

Regra: Nenhum campo visível da amostra aparece sem rótulo (label, aria-label, aria-labelledby, title) nem placeholder. (WCAG 2.1, 1.3.1, 3.3.2 e 4.1.2 (A))

Texto claro sobre fundo claro não se lê ao sol, num ecrã fraco, ou com a vista cansada. A norma pede 4,5:1 para texto normal.

Como corrigir

1. Escureça a cor do texto (ou clareie o fundo) até chegar a 4,5:1; em letra grande basta 3:1.
2. Confirme com um verificador de contraste antes de publicar a nova cor.

Regra: Nenhum texto da amostra ficou abaixo de 4,5:1 (3:1 em letra grande) com a falha confirmada nos pixéis da captura. (WCAG 2.1, 1.4.3 (AA))

O DL 83/2018 obriga os organismos públicos a publicar e manter actualizada a Declaração, com o estado de conformidade do site. O art. 8.º, n.º 2 pede que fique numa página com o endereço terminado em «/acessibilidade», hiperligada à página de entrada e, sempre que possível, ao rodapé de todas as páginas.

Como corrigir

1. Gere a Declaração no modelo oficial em acessibilidade.gov.pt.
2. Publique-a numa página do site com o endereço terminado em «/acessibilidade».
3. Ligue-a a partir da página inicial e do rodapé de todas as páginas.

Regra: A página inicial tem uma ligação para a Declaração (directa, ou a um salto de uma ligação de acessibilidade ou de informação legal da inicial), e a Declaração segue o modelo do DL 83/2018 (uma página do site ou um PDF). Endereço sem «/acessibilidade», PDF em vez de página ou falta de ligação no rodapé ficam como observação e não baixam a nota. (DL 83/2018, art. 7.º e art. 8.º, n.º 2)

A lei exige consentimento prévio para guardar identificadores de analítica ou publicidade. Gravá-los ao abrir a página é decidir pelo visitante.

Como corrigir

1. Configure o gestor de consentimento para bloquear a analítica até o visitante aceitar.
2. Com o Google, active o Consent Mode com o estado inicial «denied».

Regra: Numa sessão limpa, sem nenhum clique, o site não gravou cookies identificadores de analítica, publicidade ou redes sociais. (Lei 41/2004, art. 5.º; RGPD)

Cada envio de medição transmite o endereço e a página visitada a um terceiro. Sem consentimento, é um tratamento de dados sem base legal clara.

Como corrigir

1. Só carregue as etiquetas de medição depois do «Aceitar».
2. Vídeos do YouTube: use youtube-nocookie.com ou uma imagem que só carrega o vídeo ao clicar.

Regra: Numa sessão limpa, sem nenhum clique, o browser não enviou dados de medição ou eventos a serviços de analítica, publicidade ou redes sociais (endereços de recolha publicados). Carregar o script sem enviar medição não conta. (Lei 41/2004, art. 5.º; RGPD, art. 6.º)

Se aceitar é um clique e recusar exige vários, o consentimento não é livre. O botão de recusa deve estar no primeiro nível, ao lado do de aceitar.

Como corrigir

1. Acrescente um botão «Rejeitar» no primeiro ecrã do aviso, com o mesmo destaque do «Aceitar».
2. Evite avisos do tipo «ao continuar a navegar aceita».

Regra: O aviso de cookies tem um botão de recusa no primeiro nível, ao lado do de aceitar. (Orientações do CEPD 05/2020 sobre consentimento)

O HSTS diz ao browser para nunca mais tentar a versão insegura, o que fecha a porta a ataques de intercepção.

Como corrigir

1. Envie o cabeçalho Strict-Transport-Security: max-age=31536000; includeSubDomains.

Regra: A resposta da página inicial traz Strict-Transport-Security com max-age. (RFC 6797)

A CSP limita de onde podem vir scripts e recursos, e trava muitos ataques de injecção de código.

Como corrigir

1. Comece com Content-Security-Policy-Report-Only para ver o que seria bloqueado, e depois passe à política definitiva.

Regra: A página inicial declara uma política de segurança de conteúdo (cabeçalho ou meta). (W3C CSP)

Impede o browser de adivinhar o tipo de um ficheiro, o que evita que um carregamento inocente seja executado como código.

Como corrigir

1. Envie X-Content-Type-Options: nosniff em todas as respostas.

Regra: Cabeçalho X-Content-Type-Options: nosniff. (Fetch Standard)

Sem política, o endereço completo da página (com parâmetros de pesquisa ou formulário) pode seguir para sites externos.

Como corrigir

1. Envie Referrer-Policy: strict-origin-when-cross-origin.

Regra: Cabeçalho Referrer-Policy presente (e não unsafe-url). (W3C Referrer Policy)

Mostrar a versão exacta do CMS, de plugins ou do servidor ajuda um atacante a escolher a vulnerabilidade certa.

Como corrigir

1. Remova o meta generator do tema e dos plugins.
2. No servidor, desligue a versão nos cabeçalhos Server e X-Powered-By.

Regra: Nem o meta generator, nem os cabeçalhos Server/X-Powered-By, nem o readme.html do WordPress mostram números de versão. (OWASP WSTG-INFO-02)

Versões antigas de bibliotecas como o jQuery têm vulnerabilidades públicas (CVE) com correcção disponível há anos.

Como corrigir

1. Actualize a biblioteca para a versão corrigida indicada na prova.
2. Se um plugin antigo a obriga a ficar, substitua o plugin.

Regra: Nenhuma biblioteca JavaScript carregada na amostra está numa versão com vulnerabilidade pública (CVE) da nossa lista. (Lista publicada no README)