Auditor de Configuração do Servidor SSH
Cole o seu sshd_config ou carregue o ficheiro. A auditoria corre inteiramente no seu navegador — nada é carregado — e recebe uma pontuação, resultados por linha e uma configuração reforçada para transferir.
O sshd_config é o ficheiro que decide quem pode entrar no seu servidor e como: início de sessão como root, autenticação por palavra-passe, que cifras e algoritmos de troca de chaves são oferecidos, e quanto tempo duram as sessões inativas. Esta ferramenta audita o seu sshd_config no navegador segundo as diretrizes OpenSSH da Mozilla e os predefinidos do OpenSSH 10.6, atribui uma pontuação de 0 a 100, enumera cada resultado por linha e gera uma configuração reforçada para transferir. Compreende a semântica do primeiro valor válido, os blocos Match e as linhas Include, por isso uma primeira página limpa não consegue esconder um bloco Match fraco. Para gerar chaves, use o conjunto de chaves SSH; para verificar se uma palavra-passe foi divulgada, use a verificação de palavras-passe divulgadas; e se um segredo acabar numa configuração, o detetor de segredos divulgados encontra-o. O artigo complementar como reforçar a configuração do seu servidor SSH explica as mesmas definições em prosa.
Linha de base: diretrizes OpenSSH da Mozilla + predefinidos do OpenSSH 10.6, verificados em 2026-11-13.
Última atualização:
🔒 A sua configuração é analisada no seu navegador e nunca sai do seu dispositivo. Sem conta, sem carregamento, sem chamadas ao servidor.
O que acontece à configuração que cola
Nada sai do seu navegador. A configuração é analisada localmente por JavaScript nesta página: sem carregamento, sem chamadas ao servidor, sem armazenamento, sem conta. Isto importa porque a configuração de um servidor é um detalhe de infraestrutura — nomes de anfitrião, utilizadores, utilizadores permitidos e portas — e nunca deve ser colada numa conversa nem num verificador do lado do servidor. Fechar a página descarta-a.
O que esta pontuação NÃO prova
Uma pontuação limpa não é prova de segurança. Significa que este ficheiro, face a esta linha de base, não tem nenhuma diretiva assinalada — uma chave fraca, uma credencial divulgada, um sshd sem correções ou uma firewall em falta podem ainda deitar tudo a perder.
Uma pontuação má não é prova de uma intrusão. É uma lista de definições a alterar, por ordem de prioridade — primeiro os erros, depois os avisos.
As linhas de base mudam. Esta auditoria está datada de 2026-11-13, segundo as diretrizes OpenSSH da Mozilla e os predefinidos do OpenSSH 10.6; um algoritmo moderno hoje pode ficar obsoleto amanhã. Volte a auditar quando atualizar o sshd.
Como é calculada a pontuação
Cada erro custa 15 pontos e cada aviso 7; as notas não custam nada. Os resultados dentro de blocos Match são condicionais — só se aplicam às sessões que correspondem ao bloco, por isso são enumerados mas não baixam a pontuação. Os quatro patamares são deliberadamente largos: 80–100 é alto, 60–79 moderado, 40–59 baixo e 0–39 mau — uma escala mais fina fingiria uma precisão que uma auditoria de configuração não tem.
Como funciona a auditoria
O sshd lê cada diretiva uma vez: para cada palavra-chave, vence o primeiro valor que encontra, e as repetições posteriores são ignoradas em silêncio. Esta ferramenta cita a linha efetiva e assinala a repetição ofuscada, por isso uma linha «corrigida» abaixo da primeira não a engana. Uma diretiva ausente é auditada face ao seu predefinido do OpenSSH — a ausência nunca é tratada como aprovação quando o predefinido é permissivo, e é por isso que PasswordAuthentication é o resultado mais comum em configurações intactas.
As diretivas dentro de um bloco Match só se aplicam às sessões que cumprem os seus critérios, por isso os resultados aí são condicionais: são enumerados com o bloco a que pertencem, mas não baixam a pontuação. As linhas Include são assinaladas como não seguidas — os ficheiros incluídos nunca são lidos, por isso uma diretiva que vive apenas num ficheiro incluído é invisível para esta auditoria. Para uma auditoria completa, cole a configuração fundida (sshd -T mostra a configuração efetiva).
Esta ferramenta lê o ficheiro, não o servidor em execução: não consegue ver se o sshd está realmente a usar esta configuração, quão fortes são as suas chaves, nem se uma firewall ou o fail2ban protege a porta. Desativar PasswordAuthentication não basta por si só se o PAM ainda conseguir aceitar palavras-passe — verifique também KbdInteractiveAuthentication e a sua pilha PAM. E mudar a porta é obscuridade, não reforço: é anotado, nunca pontuado.
Perguntas frequentes
Porque é que PasswordAuthentication é o resultado mais comum?
Porque o predefinido do OpenSSH é yes: a maioria das distribuições traz o início de sessão por palavra-passe ativado, e muitos operadores nunca o desativam. Desativá-lo — e verificar KbdInteractiveAuthentication e o PAM, que ainda podem aceitar palavras-passe — importa muito mais do que mudar a porta, que só muda a mensagem de início de sessão.
A minha configuração está repartida por ficheiros Include. Porque é que a auditoria os ignora?
Esta ferramenta corre no seu navegador e não consegue ler o sistema de ficheiros do seu servidor, por isso as linhas Include são assinaladas como não seguidas em vez de serem omitidas em silêncio. Cole antes a configuração fundida: sshd -T mostra a configuração efetiva com todos os includes resolvidos, e é o ficheiro para o qual esta auditoria foi feita.
Posso colocar a configuração reforçada diretamente no meu servidor?
Não — reveja-a primeiro. A transferência reescreve as diretivas assinaladas com os valores da linha de base e comenta as linhas removidas ou ofuscadas, mas não conhece os seus blocos Match, os seus utilizadores nem a sua rede. Teste-a com sshd -t, mantenha uma sessão aberta e teste um segundo início de sessão antes de fechar a primeira.