Redirects HTTP e headers de segurança: diagnostique a resposta antes de alterar

1. Capture o caminho da resposta

Comece pela URL pública exata, incluindo esquema, hostname, caminho e query string quando relevante. Registre o primeiro status, cada valor Location e a resposta final. A barra do navegador esconde saltos intermediários, cache de redirects e mudanças de método importantes para o diagnóstico.

Teste as entradas que usuários podem digitar: HTTP, HTTPS, domínio raiz, www e uma rota profunda importante. Elas devem convergir de forma intencional. Resultados diferentes costumam revelar regras duplicadas no CDN, servidor ou aplicação.

• URLs iniciais exatas listadas
• Cada status e Location registrados
• Host e caminho finais confirmados
• Teste repetido sem cache do navegador

2. Escolha a semântica do redirect

Use 301 ou 308 quando a mudança é permanente; use 302 ou 307 para um destino temporário. Os códigos 307 e 308 preservam o método da requisição, o que importa fora de GET. Não use redirect para mascarar um fluxo de formulário inseguro.

Prefira um salto. Cadeias aumentam latência e confundem responsabilidade; loops tornam a página inacessível. Preserve caminhos e parâmetros úteis deliberadamente e retire parâmetros de rastreamento ou sensíveis quando o destino não precisa deles.

3. Alinhe canonical e links internos

A resposta final deve identificar a mesma URL preferida usada nos links internos, canonical e sitemap. Redirecionar para um host enquanto outro aparece como canonical cria sinais conflitantes e compartilhamentos confusos.

Atualize links na origem em vez de usar redirects como navegação permanente. Confira alternates de idioma separadamente: cada página deve existir, entregar conteúdo útil e apontar de volta para o conjunto correspondente.

• Links internos usam a URL final
• Canonical coincide com a resposta final
• Sitemap contém apenas URLs canônicas
• Alternates são reais e recíprocos

4. Leia headers pela finalidade

Content-Security-Policy limita recursos carregados; Strict-Transport-Security orienta navegadores compatíveis a preferir HTTPS; X-Content-Type-Options reduz MIME sniffing; Referrer-Policy controla dados de referência; restrições de frame reduzem incorporação indesejada. Cada header trata um comportamento diferente.

Não copie uma política rígida de outro site. Primeiro inventarie scripts, estilos, imagens, fontes, frames e conexões de API. Comece com uma política observável e aperte gradualmente, verificando violações e fluxos essenciais.

5. Verifique depois da mudança

Repita a cadeia sem cache, abra rotas representativas e use navegação, formulários, downloads e recursos embutidos. A home verde não basta se a CSP bloqueia um worker ou o redirect perde o caminho localizado.

Mantenha rollback pronto. Se destino, certificado, conteúdo ou interação principal falhar, restaure a configuração conhecida antes de somar novas mudanças. Documente a causa e a menor regra corretiva.