Unsafe-eval e a ilusão de progresso: análise de 1 milhão de sites revela riscos estruturais na segurança da web

A adoção do unsafe-eval em políticas de Content Security Policy (CSP) expõe uma falha crítica na segurança web atual. Apesar do aumento na implementação de CSP, observado por Scott Helme em sua análise do Tranco Top 1 Million, quase metade das políticas (46,8%) ainda inclui essa diretiva e 41,9% usa unsafe-inline. Isso enfraquece a proteção contra ataques de cross-site scripting (XSS), pois permite a execução de código JavaScript arbitrário. Em 2026, um relatório da Statvoo mostrava que 68% dos sites implementavam CSP, mas 43% dessas implementações estavam falhas, frequentemente devido a regras permissivas como default-src 'self' 'unsafe-inline'. Outro exemplo da Statvoo aponta que 43% das implementações de CSP com falha em 2026 utilizavam regras permissivas, anulando a proteção XSS. Empresas como GitHub, por outro lado, adotavam políticas restritas bloqueando 99,6% dos vetores XSS através de script-src 'self' e allowlists baseadas em hash.

A preocupação se amplia quando consideramos que 9.264 sites ainda anunciam uma versão exata e sem suporte do PHP (7.4), um presente para invasores que buscam vulnerabilidades. Enquanto o HTTPS é quase universal em 98% dos sites, e o TLS 1.3 atinge 86% de adoção entre os top 10.000 sites em 2026, o grande desafio é aprofundar a qualidade da configuração. A simples presença de um cabeçalho não garante segurança. É preciso ir além, eliminando comandos legados e priorizando implementações robustas de CSP, HSTS e outros cabeçalhos de segurança essenciais.

A evolução da segurança web, ao longo da última década, mostra um paradoxo. Componentes fundamentais como HTTPS, HSTS e CSP tiveram forte crescimento na adoção, mas não na qualidade. Em 2026, o mesmo Scott Helme apontou 98% de uso de HTTPS nos top sites, um salto em relação aos 40% de 2016. Na mesma época, 62% adotavam CSP. Ou seja, a massificação da tecnologia foi alcançada para algumas práticas. Contudo, enquanto a análise de 2026 já mencionava que 43% das CSPs eram quebradas por falhas de implementação, agora, em 2026, a nova análise detalha que 46,8% utilizam unsafe-inline ou unsafe-eval. Isso escancara que um problema já conhecido se agravou, consolidando um gargalo na proteção contra XSS. Antes rumorejava-se que a adoção de TLS 1.3 era gradual, mas agora se confirma 86% de adoção entre os 10.000 principais sites em 2026, com os 14% restantes ainda usando TLS mais antigos, como 1.0/1.1.

A superficialidade na configuração de segurança transforma tecnologias essenciais em falsas promessas de proteção. A Cloudflare, ao atuar como intermediária para mais de um terço dos sites, centraliza o progresso em HTTP/3, NEL e isolamento cross-origin. Isso pode ser um ponto de conveniência mas também um risco de concentração, onde a infraestrutura de segurança de vasta porção da web depende de poucas decisões. Outro ponto crítico é a dependência de scripts de terceiros: 61% dos sites carregavam scripts de domínios com presença em listas de malware desde 2023, exigindo uma análise mais profunda das cadeias de suprimento de código. A análise ressalta que a segurança de um site moderno é tão forte quanto o elo mais fraco em sua configuração, e a prevalência de práticas como unsafe-eval e DMARC com p=none em 51,4% dos domínios da pesquisa anterior, mostra que a vigilância precisa ser contínua e detalhada.