Santarém

Quem vê mal amplia a página com dois dedos no telemóvel. Se o site o bloqueia, o texto fica pequeno demais para ser lido.

Como corrigir

1. Na etiqueta <meta name="viewport"> do tema, retire user-scalable=no e maximum-scale=1.
2. Deixe apenas: width=device-width, initial-scale=1.

Regra: Nenhuma página da amostra impede a ampliação (meta viewport sem user-scalable=no nem maximum-scale abaixo de 2). (WCAG 2.1, 1.4.4 (AA))

Quem não vê a imagem ouve a descrição. Sem ela, o leitor de ecrã lê o nome do ficheiro, ou nada.

Como corrigir

1. Em cada imagem de conteúdo, preencha o campo «texto alternativo» no gestor de conteúdos.
2. Imagens puramente decorativas levam alt="" (vazio), para serem ignoradas.

Regra: Nenhuma imagem visível da amostra aparece sem atributo alt e sem outro nome acessível (title, aria-label, aria-labelledby). Imagens marcadas como decorativas não contam. (WCAG 2.1, 1.1.1 (A))

Texto claro sobre fundo claro não se lê ao sol, num ecrã fraco, ou com a vista cansada. A norma pede 4,5:1 para texto normal.

Como corrigir

1. Escureça a cor do texto (ou clareie o fundo) até chegar a 4,5:1; em letra grande basta 3:1.
2. Confirme com um verificador de contraste antes de publicar a nova cor.

Regra: Nenhum texto da amostra ficou abaixo de 4,5:1 (3:1 em letra grande) com a falha confirmada nos pixéis da captura. (WCAG 2.1, 1.4.3 (AA))

O DL 83/2018 obriga os organismos públicos a publicar e manter actualizada a Declaração, com o estado de conformidade do site. O art. 8.º, n.º 2 pede que fique numa página com o endereço terminado em «/acessibilidade», hiperligada à página de entrada e, sempre que possível, ao rodapé de todas as páginas.

Como corrigir

1. Gere a Declaração no modelo oficial em acessibilidade.gov.pt.
2. Publique-a numa página do site com o endereço terminado em «/acessibilidade».
3. Ligue-a a partir da página inicial e do rodapé de todas as páginas.

Regra: A página inicial tem uma ligação para a Declaração (directa, ou a um salto de uma ligação de acessibilidade ou de informação legal da inicial), e a Declaração segue o modelo do DL 83/2018 (uma página do site ou um PDF). Endereço sem «/acessibilidade», PDF em vez de página ou falta de ligação no rodapé ficam como observação e não baixam a nota. (DL 83/2018, art. 7.º e art. 8.º, n.º 2)

A lei exige consentimento prévio para guardar identificadores de analítica ou publicidade. Gravá-los ao abrir a página é decidir pelo visitante.

Como corrigir

1. Configure o gestor de consentimento para bloquear a analítica até o visitante aceitar.
2. Com o Google, active o Consent Mode com o estado inicial «denied».

Regra: Numa sessão limpa, sem nenhum clique, o site não gravou cookies identificadores de analítica, publicidade ou redes sociais. (Lei 41/2004, art. 5.º; RGPD)

Cada envio de medição transmite o endereço e a página visitada a um terceiro. Sem consentimento, é um tratamento de dados sem base legal clara.

Como corrigir

1. Só carregue as etiquetas de medição depois do «Aceitar».
2. Vídeos do YouTube: use youtube-nocookie.com ou uma imagem que só carrega o vídeo ao clicar.

Regra: Numa sessão limpa, sem nenhum clique, o browser não enviou dados de medição ou eventos a serviços de analítica, publicidade ou redes sociais (endereços de recolha publicados). Carregar o script sem enviar medição não conta. (Lei 41/2004, art. 5.º; RGPD, art. 6.º)

Se aceitar é um clique e recusar exige vários, o consentimento não é livre. O botão de recusa deve estar no primeiro nível, ao lado do de aceitar.

Como corrigir

1. Acrescente um botão «Rejeitar» no primeiro ecrã do aviso, com o mesmo destaque do «Aceitar».
2. Evite avisos do tipo «ao continuar a navegar aceita».

Regra: O aviso de cookies tem um botão de recusa no primeiro nível, ao lado do de aceitar. (Orientações do CEPD 05/2020 sobre consentimento)

O munícipe tem direito a saber que dados são tratados, para quê e a quem se dirigir. A política tem de estar ao alcance.

Como corrigir

1. Ponha uma ligação «Política de Privacidade» no rodapé de todas as páginas.

Regra: A página inicial tem uma ligação para a política de privacidade ou de protecção de dados. (RGPD, art. 12.º e 13.º)

O HSTS diz ao browser para nunca mais tentar a versão insegura, o que fecha a porta a ataques de intercepção.

Como corrigir

1. Envie o cabeçalho Strict-Transport-Security: max-age=31536000; includeSubDomains.

Regra: A resposta da página inicial traz Strict-Transport-Security com max-age. (RFC 6797)

O TLS 1.0 e 1.1 foram descontinuados em 2021 (RFC 8996) por terem fragilidades conhecidas.

Como corrigir

1. Na configuração do servidor, active apenas TLS 1.2 e 1.3.

Regra: O servidor recusa ligações em TLS 1.0 e 1.1 (versões descontinuadas). (RFC 8996)

Mostrar a versão exacta do CMS, de plugins ou do servidor ajuda um atacante a escolher a vulnerabilidade certa.

Como corrigir

1. Remova o meta generator do tema e dos plugins.
2. No servidor, desligue a versão nos cabeçalhos Server e X-Powered-By.

Regra: Nem o meta generator, nem os cabeçalhos Server/X-Powered-By, nem o readme.html do WordPress mostram números de versão. (OWASP WSTG-INFO-02)

Versões antigas de bibliotecas como o jQuery têm vulnerabilidades públicas (CVE) com correcção disponível há anos.

Como corrigir

1. Actualize a biblioteca para a versão corrigida indicada na prova.
2. Se um plugin antigo a obriga a ficar, substitua o plugin.

Regra: Nenhuma biblioteca JavaScript carregada na amostra está numa versão com vulnerabilidade pública (CVE) da nossa lista. (Lista publicada no README)