Sobre o monitor do Vitrina Engine

O Vitrina Engine verifica se um site está no ar, quanto tempo leva para responder e se o certificado está prestes a expirar. Uma verificação é uma única requisição em um cronograma fixo — geralmente uma vez por minuto, e nunca mais rápido. Ele não rastreia: requisita exatamente a URL que recebeu, não segue links e não indexa nada.

O mesmo identificador é usado quando entregamos um webhook a um endpoint configurado por um cliente, o que é um único POST no momento em que algo que ele monitora muda de estado.

Toda requisição carrega este User-Agent:

VitrinaEngine/1.0 (+https://vitrinaengine.com/bot)

Um User-Agent é apenas uma alegação, e qualquer um pode copiá-lo. Portanto, não confie apenas nele — há duas formas de verificar de fato que uma requisição é nossa.

Assinaturas — a forma confiável

Toda requisição é assinada criptograficamente, usando HTTP Message Signatures (RFC 9421) conforme definido pelo Web Bot Auth. Três cabeçalhos carregam a assinatura:

Signature-Agent: "https://vitrinaengine.com"
Signature-Input: sig1=("@authority" "signature-agent");…;tag="web-bot-auth"
Signature: sig1=:…:

Nossas chaves públicas são publicadas como um JSON Web Key Set em /.well-known/http-message-signatures-directory. Esta é a verificação preferível. Uma assinatura não pode ser reutilizada contra outro host, não pode ser forjada sem a nossa chave privada e não depende de o DNS de ninguém estar atualizado.

DNS reverso — uma verificação secundária

Nossas sondas resolvem reversamente para hostnames sob infinitycurve.com. Para verificar uma, resolva o endereço de origem para um nome, confira se o nome termina com esse sufixo, depois resolva o nome de volta e confira se ele retorna o mesmo endereço. É a ida e volta que torna isso uma prova — um registro reverso sozinho é definido por quem controla o bloco de endereços.

$ dig +short -x 203.0.113.10
host1234.infinitycurve.com.

$ dig +short host1234.infinitycurve.com
203.0.113.10

Use isto se a sua borda não conseguir verificar assinaturas. É corroboração, não prova, e depende de registros publicados por quem opera cada bloco de endereços — o que não é o nosso sistema e nem sempre está em vigor.

Não publicamos uma lista de endereços, e preferimos que você não monte uma. As sondas mudam de host, de provedor e de local conforme as posicionamos, então qualquer coisa fixada a um endereço ou data center específico vai deixar de corresponder em algum momento, sem nada que explique o motivo. Verifique a assinatura em vez disso — ela é válida de onde quer que a requisição tenha vindo.

Se o seu robots.txt nos menciona, nós obedecemos. Isto interrompe nossas verificações nesse caminho em até uma hora:

User-agent: VitrinaEngine
Disallow: /

Deliberadamente não tratamos uma regra com curinga como aplicável a nós. Um monitor não é um rastreador — ele requisita uma URL que alguém cadastrou, não descobre nada e não armazena nada — e os sites que publicam um bloqueio total costumam ser ambientes de homologação, painéis administrativos e ferramentas internas, que são exatamente as coisas que as pessoas nos pedem para acompanhar. Uma regra que nos menciona é inequívoca; uma regra voltada a mecanismos de busca não é.

Pergunte a quem configurou. Um monitor existe porque alguém cadastrou a sua URL, e essa é a pessoa que pode removê-lo — geralmente um colega, uma agência ou um provedor de hospedagem agindo em seu nome. Esse é, de longe, o caminho mais rápido.

Se você não conseguir encontrá-los, escreva para support@vitrinaengine.com com a URL que está sendo verificada e nós interromperemos. Você não precisa provar que é dono do domínio para que paremos de requisitá-lo; preferimos parar e depois ser solicitados a retomar.

Bloquear o User-Agent, a regra de robots.txt acima ou os hostnames também funciona e não exige nada de nós. Saiba o que isso significa: o monitor vai informar que o site está inacessível, e quem o configurou vai perceber.

• Ele não rastreia, não varre e não segue links.
• Ele não coleta conteúdo, não treina nada e não retém corpos de resposta.
• Ele não tenta se autenticar, enviar formulários ou procurar vulnerabilidades.
• Ele não ignora um bloqueio. Recusa é um resultado, e é registrado como tal.