Saiba o que o seu site expõe e o que ele coleta sem pedir
Privacidade e segurança de um site são os dados que ele coleta dos visitantes e as portas que deixa abertas: consentimento, cabeçalhos, certificado, DNS do e-mail e credenciais expostas. O Path Ranker confere de fora, como um visitante, os pontos de LGPD e GDPR visíveis no site, os cabeçalhos de segurança e o certificado, o DNS do e-mail e se alguma credencial ficou à vista. Cada achado traz a evidência e, quando existe, o comando para repetir a medição.
Como funciona
Lê as páginas e os cabeçalhos
O rastreio passa pelas páginas, formulários, scripts e links do site. Na página inicial, os cabeçalhos HTTP e o certificado TLS são lidos direto do servidor.
Abre a página num navegador real
Um Chrome sem interface carrega a página sem clicar em nada e registra quais rastreadores são chamados antes de qualquer consentimento.
Consulta o DNS e procura vazamentos
Lê os registros SPF, DMARC e CAA do domínio e testa 30 caminhos sensíveis, como .env, .git e backups de banco de dados. Um arquivo só conta como exposto se o conteúdo confirmar.
O que é conferido
Política de privacidade e termos
Procura a política de privacidade do próprio site (links do reCAPTCHA ou de terceiros não contam), os termos de uso e a política de cookies.
Consentimento antes dos rastreadores
Mostra quais rastreadores (Google Analytics, Meta, Hotjar, Clarity, LinkedIn, TikTok, RD Station e outros) disparam antes do aceite. Sem a leitura do navegador, o item fica como não verificado e não pesa na nota.
Formulários com dados pessoais
Aponta formulários que pedem nome, e-mail, telefone ou CPF sem aviso de privacidade no próprio formulário, e formulários que enviam fora do HTTPS.
Controlador e direitos do titular
Confere se o site mostra o CNPJ (ou NIF, EIN) e um canal para os direitos do titular, como o e-mail do encarregado (DPO).
Cabeçalhos de segurança e certificado
HSTS, CSP, X-Frame-Options, X-Content-Type-Options e Referrer-Policy, além da validade, do emissor e dos dias até o vencimento do certificado TLS.
Credenciais expostas
Procura chaves privadas, senhas de banco de dados e tokens de serviços como AWS, Stripe ou GitHub no HTML e nos scripts do próprio site. O relatório mostra só o começo e o fim de cada valor.
Portas abertas
Detecta páginas de login abertas a qualquer um (wp-login.php, xmlrpc.php, /administrator/), listagem de pastas, conteúdo misto (http numa página https) e a versão do servidor nos cabeçalhos.
E-mail e domínio
Confere SPF e DMARC quando o domínio é usado para e-mail, a política p=none do DMARC, o registro CAA e o redirecionamento de http para https.
O que ele não faz
- Mede de fora, como um visitante: lê páginas públicas, cabeçalhos e DNS. Não acessa o servidor, o código nem o painel do site, e não altera nada.
- Não é um teste de invasão: não tenta senhas nem explora falhas. A busca por credenciais vê só o que o site entrega publicamente.
- O consentimento é conferido no primeiro carregamento, sem cliques. O que acontece depois de aceitar ou recusar não é testado.
- Aponta sinais técnicos de LGPD e GDPR. Não substitui a avaliação de um profissional jurídico.
Em quais planos
Faz parte da análise completa nos planos Starter, Pro e Enterprise. Nesses planos também dá para rodar só o grupo E-E-A-T (confiança) e privacidade ou o grupo Cabeçalhos, certificado, DNS e e-mail. O plano Free faz uma análise reduzida, sem privacidade, segurança e DNS.
Ver planosPerguntas frequentes
- Não. Ele aponta os sinais técnicos que dá para conferir de fora, como política, consentimento e formulários. A conformidade depende também de processos internos e da avaliação de um profissional jurídico.
- Não. Cada valor é mascarado na hora: ficam só os 6 primeiros e os 4 últimos caracteres, e o relatório pode ser compartilhado sem espalhar a chave. Troque a chave mesmo assim, porque ela já esteve pública.
- Abra o site numa janela anônima, abra o DevTools (F12) na aba Rede e recarregue sem aceitar o aviso de cookies. Se scripts de análise ou de anúncios carregarem, eles disparam antes do aceite.
- Ela faz requisições de leitura, como um visitante: as páginas do rastreio, os scripts do próprio site e os 30 caminhos conhecidos. Não envia formulários nem tenta fazer login.
- Não. Esses achados só aparecem quando o domínio tem registro MX, isto é, quando está configurado para receber e-mail.
Outros recursos
Análise no Bing
A empresa no Bing Maps e o site nas buscas do Bing, que também abastece o Copilot
Core Web Vitals
Usuários reais do Chrome e Lighthouse no celular e no computador, lado a lado
Dados estruturados
schema.org em JSON-LD, microdata e RDFa conferido contra o vocabulário oficial
E-E-A-T e confiança
28 sinais de experiência, especialidade, autoridade e confiança, com a página de origem
Metas de SEO e IA
Dez ajustes que costumam trazer clientes, cada um com o número, a meta e a situação
Monitoramento e alertas
Análises agendadas, aviso de piora, site fora do ar e certificado ou domínio vencendo
Pesquisa de palavras-chave
Ideias de busca com volume, dificuldade, custo por clique e intenção, para acompanhar
Perfil no Google
Nota de 0 a 100, concorrência local, geogrid e aviso quando um dado do perfil muda
Posições no Google
Em que posição o site aparece no Google para as palavras que importam, e como isso muda
Prontidão para IA
GEO, AEO, citabilidade por página, jornada de agente e citações em IA
Relatórios
PDF, link com PIN, marca própria e o relatório da empresa, em 3 idiomas
Robôs de IA e busca
18 robôs de IA e busca testados ao vivo, com o que cada um recebe
Search Console e GA4
Cliques, indexação e sessões do Google no relatório, incluindo as visitas vindas de IA
SEO semântico
Assuntos, páginas-pilar, entidades e trechos que se entendem sozinhos
SEO técnico
Rastreio, status, canonical, robots.txt, sitemap, hreflang e renderização em JavaScript
Veja o que o seu site mostra para quem olha de fora
Rode uma análise e receba cada ponto de privacidade e segurança com a evidência e a correção.
Testar grátis