ZenovayTools

Verificador de Métodos HTTP

Testa quais métodos HTTP estão habilitados em uma URL (GET, HEAD, POST, PUT, DELETE, PATCH, TRACE). Sinaliza métodos perigosos como TRACE (XST) e PUT/DELETE desnecessários. Nota A-F.

Como Usar Verificador de Métodos HTTP

  1. 1Digite a URL para testar os métodos HTTP permitidos.
  2. 2A ferramenta envia uma solicitação OPTIONS e testa verbos HTTP principais.
  3. 3Os resultados mostram o status permitido/rejeitado para cada método com níveis de risco.
  4. 4Revise os métodos perigosos (TRACE, PUT, DELETE) e recomendações.
ZenovayAnalytics

Analytics sem nenhum banner de cookies.

  • Acompanhamento de visitantes em tempo real
  • Privacidade em primeiro lugar, sem banner de cookies
  • Configurado em dois minutos
Conheça o Zenovay

Ferramentas Relacionadas

Gerador de Senha
Gere senhas fortes e aleatórias com comprimento, caracteres e complexidade personalizáveis.
Verificador de Força da Senha
Verifique o quão forte é sua senha. Obtenha um tempo estimado de quebra e sugestões de melhoria.
Gerador HMAC
Gere assinaturas HMAC usando SHA-256, SHA-384 ou SHA-512 com a Web Crypto API.
Criptografia/Descriptografia AES
Criptografe e descriptografe texto usando AES-GCM com derivação de chave PBKDF2. Executa totalmente no seu navegador.

Perguntas Frequentes

Quais métodos HTTP são riscos de segurança?▾
TRACE é o mais perigoso — habilita ataques de Cross-Site Tracing (XST) que podem roubar cookies mesmo quando HttpOnly está definido. PUT e DELETE são perigosos se irrestrito, pois podem permitir que atacantes façam upload ou excluam arquivos. CONNECT é usado para tunelamento de proxy e não deve ser exposto em servidores de aplicação.
Por que meu servidor responde a PUT/DELETE, mas não é realmente explorável?▾
Uma resposta 200/204 para PUT ou DELETE não significa necessariamente que um atacante pode sobrescrever arquivos — autenticação, middleware de autorização e roteamento de aplicação ainda podem bloquear ações não autorizadas. No entanto, a exposição desses métodos indica que seu servidor não está restringindo métodos HTTP na camada de rede, o que é uma prática ruim.
O que é Cross-Site Tracing (XST) e por que TRACE é perigoso?▾
XST é um ataque onde TRACE ecoa tudo, incluindo o cabeçalho Authorization e cookies. Combinado com uma vulnerabilidade de Cross-Site Scripting (XSS), um atacante pode usar JavaScript para enviar uma requisição TRACE e ler os cookies ecoados — contornando o flag HttpOnly que normalmente impede o acesso JavaScript a cookies.
O que é o cabeçalho Allow e como ele se relaciona a este teste?▾
O cabeçalho Allow em uma resposta HTTP (tipicamente de uma requisição OPTIONS) lista os métodos HTTP que o servidor suporta para um recurso. Esta ferramenta usa o cabeçalho Allow como orientação, mas ainda envia requisições de sondagem para verificar o comportamento real — alguns servidores anunciam poucos métodos, mas aceitam mais.
Como devo desabilitar TRACE em servidores web comuns?▾
Apache: Adicione "TraceEnable off" em httpd.conf ou .htaccess. Nginx: Adicione "if ($request_method = TRACE) { return 405; }" no bloco server. IIS: Use o módulo Request Filtering para bloquear o verbo TRACE. Node.js/Express: Adicione middleware para rejeitar requisições TRACE antes dos manipuladores de rota.