O Radar: o que mede, quem vê, e o que fazer a seguir

O Radar pega no endereço de um site e mede o que dá para medir sem pedir acesso a nada: o que o servidor responde, o que o registo público da empresa diz, o que está publicado. Não instala nada, não entra em contas, não altera nada. Olha para o que qualquer visitante — ou qualquer robô — consegue ver.

É a única área da KRIA que se usa antes de haver um projeto. Serve para descobrir que há trabalho para fazer.

Estão organizadas em catorze áreas, e cada uma tem um código próprio — o WEB-SEC-02 que aparece num alerta é sempre a mesma verificação, hoje e daqui a seis meses.

• Performance — tempo de resposta do servidor, peso do HTML, scripts de terceiros, formatos de imagem.
• Segurança — certificado HTTPS e a sua validade, cabeçalhos de segurança, versão de TLS.
• Acessibilidade — o que se consegue verificar automaticamente no código da página.
• SEO — títulos, descrições, estrutura, sitemap, robots.
• Conteúdo e higiene digital — o que está publicado e em que estado.
• Legal e privacidade — política de privacidade, cookies, livro de reclamações, RAL.
• Loja online — só corre se o site vender, com as obrigações que daí vêm.
• Registo comercial — NIF, forma jurídica, situação, antiguidade.
• Presença digital — redes sociais e onde a empresa aparece.
• DNS e email — SPF, DKIM, DMARC e a configuração do domínio.
• Propriedade industrial — marcas registadas no INPI.
• História do site — o que mudou ao longo do tempo.
• Menções e presença externa — onde o nome da empresa é referido.
• Visibilidade em IA — se os modelos conhecem a empresa.

Cada alerta guarda três coisas: o que foi medido, onde foi medido e o que é preciso fazer. Se um alerta diz que faltam cabeçalhos de segurança, diz também quais faltam e em que endereço foi verificado. Isso é de propósito — um diagnóstico que não mostra a medição é uma opinião.

De 0 a 100, com cinco faixas: abaixo de 40 precisa de atenção, até 60 vários pontos a corrigir, até 80 razoável, até 90 sólido, e a partir daí muito sólido. No relatório há um botão Como é calculado? que abre a fórmula com os pesos usados naquele varrimento — não é uma caixa preta.

Uma nota que evita mal-entendidos: a pontuação depende da versão do catálogo. Quando entram verificações novas, comparações entre varrimentos de versões diferentes aparecem assinaladas, nunca calculadas em silêncio.

Qualquer pessoa pode correr um varrimento a qualquer site e ver quantos problemas há e de que gravidade. O que são esses problemas só é mostrado a quem provar que representa a empresa.

A razão é simples: uma lista detalhada de falhas de segurança de uma empresa qualquer, aberta a toda a gente, é um mapa para quem quiser fazer mal. As contagens dizem que vale a pena olhar; o detalhe pertence a quem pode corrigir.

Há quatro formas de provar o controlo do domínio, e escolhe-se a que der menos trabalho: email do domínio (a conta KRIA usa um endereço @empresa.pt), registo DNS TXT, ficheiro na raiz do site, ou email publicado no site — procuramos o endereço da conta nas páginas da empresa.

Em cada alerta do relatório há um Isto não está correto. Carregar ali tira o alerta do relatório e faz essa contestação contar para a taxa da verificação que o gerou.

Isto não é um botão de cortesia: se uma verificação começa a ser contestada com frequência, aparece na saúde do catálogo e é suspensa até ser revista. Uma verificação que se engana muitas vezes deixa de correr, em vez de continuar a acusar toda a gente.

É aqui que o Radar deixa de ser um relatório. No fim das secções há uma caixa — Há quem resolva isto na KRIA — que abre o pedido de orçamento já escrito: o site, os dados da empresa e a lista dos problemas por resolver, um a um, com a gravidade, a categoria e a ação recomendada de cada um.

Só entram os problemas por resolver. O que passou nas verificações e o que foi contestado fica de fora, porque um caderno de encargos é a lista do que há para fazer, não o retrato do site. A partir daí é o percurso normal: criativos e agências respondem com abordagem, preço e prazo, e comparas.

Não é uma auditoria certificada nem um parecer jurídico. São verificações técnicas e documentais automáticas: apanham o que é observável de fora e não substituem um advogado, um auditor de segurança ou uma revisão humana do site.

Também não é um teste de penetração. O Radar lê; não tenta entrar em lado nenhum.

Em kria.pt/radar, ou pela caixa de áreas — o ícone ao lado do logótipo, no fim da lista. Os varrimentos que fizeres ficam guardados em A minha área, com o histórico da pontuação ao longo do tempo.