Verificador de Cache-Control para conteúdo sensível

Resposta com dado de sessão guardada em cache é vazamento clássico: o extrato fica no cache do navegador de um computador compartilhado, ou pior, um proxy intermediário serve a página de um usuário para outro. O cabeçalho Cache-Control é o que impede isso, e a diferença entre diretivas que parecem equivalentes é justamente onde a maioria erra.

Informe o cabeçalho e marque se a resposta traz cookie ou exige autenticação, e a página aponta o que está frouxo. A distinção que mais importa é entre a diretiva que proíbe guardar e a que exige revalidar: a primeira impede o armazenamento; a segunda permite guardar e apenas obriga a conferir antes de reusar — e conferir com o servidor fora do ar, ou com a sessão já expirada, pode devolver o conteúdo guardado.

Para conteúdo autenticado, a combinação usual é proibir o armazenamento e marcar a resposta como privada, o que barra cache compartilhado. Vale lembrar que os navegadores tratam o botão de voltar de forma especial: sem a proibição explícita, a página pode reaparecer da memória mesmo depois do logout. E que omitir o cabeçalho não significa não cachear — significa deixar o navegador decidir por heurística, que costuma ser generosa demais.