Pesquise “lista de manutenção de site” e sai sempre a mesma lista. Atualize seus plugins. Verifique links quebrados. Faça um backup. Renove seu domínio. Não está errado. É só a parte que todo mundo já sabe, e ela pula as verificações que de fato pegam problemas antes que eles te custem um cliente.
Esta é uma lista diferente. É a que executamos num site, agrupada do jeito que o nosso próprio Check-up de Saúde do Site executa. Cada item inclui o que é, por que importa, e como verificar você mesmo de graça.
Uma coisa para deixar clara de início, porque mantém a lista toda honesta: estas verificações leem a sua página inicial pública e os seus registros DNS públicos. Não fazem login em nada, não rastreiam todas as páginas, e não vão pegar uma página que já esteja invadida por dentro. Esta lista diz se a porta da frente e as fechaduras estão firmes. Não consegue dizer se alguém já está lá dentro.
A lista tem duas metades: segurança e confiança, e depois velocidade e qualidade.
Parte 1: Segurança e confiança
Nove verificações. As duas primeiras confirmam que o site e o e-mail dele sequer existem. As cinco do meio são sobre confiança, principalmente e-mail, que é onde as empresas pequenas mais perdem em silêncio. As duas últimas são sobre ser acessível.
1. O site está mesmo no ar?
A verificação mais básica: o domínio resolve para um servidor? Um único registro DNS vencido, e o site simplesmente some, sem nenhum erro para te avisar. Carregue a sua página inicial numa janela privada. Se não abrir, nada mais desta lista importa ainda.
2. O domínio consegue receber e-mail?
Um domínio precisa de um registro MX para aceitar e-mail. As empresas perdem isso ao trocar de provedor de e-mail e um registro cai. De repente cada resposta ao seu endereço volta, e você descobre por um cliente irritado. Se você usa e-mail no seu domínio, confirme que ele ainda consegue receber.
3. SPF: quem pode enviar em seu nome
SPF lista quais servidores podem enviar e-mail usando o seu domínio. Duas coisas o quebram. Ou não há registro, ou, mais sorrateiro, há dois. Os servidores de recebimento descartam totalmente registros SPF duplicados, então “temos SPF” pode ser falso sem você saber. Verifique que você tem exatamente um registro e que ele nomeia cada serviço de onde você realmente envia. Nosso verificador de SPF gratuito mostra.
4. DMARC: o que acontece quando uma mensagem falha
DMARC diz aos servidores de recebimento o que fazer com e-mail que falha nas suas verificações: nada (p=none), mandar para o spam (quarantine) ou rejeitar (reject). Em dezembro de 2025, 83,9% dos domínios não tinham nenhum registro DMARC. Dois detalhes que a maioria dos verificadores pula: uma política de subdomínio em sp=none deixa seus subdomínios passíveis de falsificação, e um endereço rua que não aponta para lugar nenhum faz seus relatórios de falha sumirem. O verificador de DMARC gratuito lê tudo.
5. DKIM: seus remetentes realmente assinam?
DKIM é a assinatura que prova que um e-mail veio mesmo de você. SPF diz quem pode enviar. DKIM prova que enviou. A lacuna é comum: um serviço está autorizado no SPF mas não está de fato assinando, então o e-mail dele é mais fraco do que você pensa. Uma verificação real testa as assinaturas padrão dos serviços que você usa, como Google Workspace, Microsoft 365, SendGrid, Mailchimp e Resend, e confirma que estão ativas.
6. CAA: quem pode emitir certificados para o seu domínio
Um registro CAA limita quais autoridades de certificação podem emitir um certificado SSL para o seu domínio. Sem ele, qualquer uma pode, o que abre mais a porta para um certificado emitido indevidamente. É um registro pequeno que a maioria dos sites nunca configura, e configurá-lo é uma melhoria de segurança silenciosa.
7. SSL: o certificado é realmente válido?
“Tem cadeado” não é o mesmo que “válido”. Um certificado pode estar vencido, cobrir o nome de host errado ou ter uma cadeia quebrada, e qualquer uma dessas coisas dispara o aviso de tela cheia “sua conexão não é privada” que manda os visitantes de volta para a busca. Uma verificação real confirma que o certificado valida num navegador, nome de host e cadeia incluídos, e quantos dias faltam para expirar. Rode o verificador de SSL gratuito.
8. Viewport mobile: o telefone sabe como exibir a página?
Uma etiqueta pequena, a etiqueta meta viewport, diz ao telefone como distribuir a sua página. Sem ela, os visitantes no celular veem um layout de desktop minúsculo e afastado que precisam ampliar para ler. A maioria desiste. É um conserto de uma linha, fácil de perder num redesenho.
9. robots.txt e acesso de IA: os rastreadores conseguem chegar a você?
Seu arquivo robots.txt controla quem pode ler o seu site. Verifique que ele existe, que o Googlebot e o Bingbot conseguem chegar à sua página inicial, e, cada vez mais importante, que os rastreadores de IA não estão bloqueados. Quando alguém pede ao ChatGPT ou ao Perplexity uma empresa como a sua, a IA primeiro precisa conseguir entrar. Nosso verificador de rastreadores de IA testa sete deles de uma vez, incluindo GPTBot, ClaudeBot, PerplexityBot e Google-Extended, e o verificador de robots.txt cobre os rastreadores de busca.
Parte 2: Velocidade e qualidade
A segunda metade é sobre a experiência quando um visitante chega. Estas vêm do PageSpeed Insights do Google, rodado no mobile, e você pode obtê-las do nosso teste de velocidade gratuito.
São quatro pontuações de 100:
- Velocidade (Desempenho): o quão rápido a página realmente carrega num celular intermediário.
- Acessibilidade: se pessoas que usam leitores de tela ou navegação por teclado conseguem usar a página.
- Bem construída (Práticas recomendadas): se a página segue as regras modernas que os navegadores esperam.
- Fundamentos de busca (SEO): se os básicos que os buscadores procuram estão no lugar.
Abaixo das pontuações, três números dizem como o carregamento realmente parece:
- LCP (Largest Contentful Paint): quanto tempo até o conteúdo principal aparecer.
- CLS (Cumulative Layout Shift): o quanto a página pula enquanto carrega.
- TBT (Total Blocking Time): quanto tempo a página fica congelada e sem responder aos toques.
Depois os alertas de usabilidade mobile, que são os que te custam vendas em silêncio no celular: botões colocados perto demais, texto menor que 12px, e conteúdo que passa mais largo que a tela e obriga a rolar para o lado.
Os limites honestos, de novo
Vale repetir, porque é a diferença entre uma lista útil e uma falsa sensação de segurança. Tudo acima lê a sua página inicial pública e os seus registros DNS públicos. Não vai fazer login no seu site, rastrear todas as páginas, nem detectar uma página já comprometida. Trate um resultado limpo como “a porta da frente está firme”, não como “não há nada errado em lugar nenhum”.
Algumas coisas também ficam de fora dessa verificação central de propósito, e têm suas próprias ferramentas gratuitas se você quiser: seus redirecionamentos, seus cabeçalhos de segurança e suas tags de prévia social. Úteis, mas separadas do check-up de saúde acima.
Com que frequência rodar cada uma
A manutenção não é um evento anual, porque as coisas desta lista falham no próprio calendário:
- Certificado e DNS: mensal. Certificados vencem numa data fixa, e uma troca de provedor pode derrubar um registro a qualquer momento.
- E-mail (SPF, DKIM, DMARC): depois de qualquer mudança no seu e-mail ou ferramentas de envio, e mensal fora isso.
- Acesso de IA e busca: mensal, e sempre que você mexer no robots.txt.
- Velocidade e mobile: depois de qualquer redesenho ou grande adição de conteúdo.
Se isso soa como uma tarefa permanente, é porque é. Uma de verdade, e é o motivo pelo qual a manutenção é pulada.
Ou delegue a lista inteira
Você pode rodar cada verificação daqui você mesmo, de graça, e deveria pelo menos uma vez. A pegadinha é o mês que vem, e o seguinte, porque certificados vencem, registros desregulam e as regras dos rastreadores mudam, você se lembrando de olhar ou não.
Esse trabalho contínuo é o que a Surmado faz. Você não opera uma ferramenta de listas. O Scout reconstrói o seu site sobre uma base onde isso está bem configurado desde o primeiro dia, e depois mantém assim: certificado válido, e-mail autenticado, rastreadores de IA com acesso, velocidade na faixa. Nada desta lista vira o seu problema de domingo à noite. Se você quer o site inteiro resolvido, isso é o Surmado Sites.
Leituras relacionadas: