Este site é confiável? Como verificar se um site é seguro antes de comprar ou fazer login

Uma loja online nova com preços bons demais para ser verdade, uma mensagem de "sua encomenda está retida" com um link, uma página de login que apareceu depois de você clicar em um anúncio. Antes de pagar ou digitar uma senha, dedique cinco minutos a verificar se o site é confiável. Nenhuma das verificações é perfeita sozinha, mas juntas elas pegam a grande maioria dos golpes óbvios e dão a você uma noção bem melhor sobre os demais casos.

Um aviso honesto logo de início: nenhuma ferramenta e nenhum checklist podem garantir que um site é seguro. Sites de golpe surgem e somem em poucos dias, e um site que estava ok no ano passado pode ser hackeado hoje. Trate cada verificação abaixo como um sinal, não como um veredito, e deixe que o conjunto da obra decida.

1. Leia o endereço, caractere por caractere

A maior parte do phishing depende de você não olhar a URL com atenção. Antes de qualquer outra coisa, confira o domínio na barra de endereço: a parte logo antes da primeira barra.

• Typosquatting: paypa1.com, arnazon.com (r+n no lugar de m), micros0ft-support.com. Letras trocadas, duplicadas ou parecidas são o truque clássico.
• Marca como subdomínio: em paypal.com.account-verify.net, o domínio real é account-verify.net. Tudo à esquerda dele pode ser escolhido livremente pelo dono.
• Extensão incomum: uma marca conhecida em uma extensão estranha (.shop, .top, .xyz e muitas outras) não é prova de fraude, mas é um motivo para verificar com mais atenção.
• Caracteres parecidos de outros alfabetos: o "а" ou o "о" cirílicos podem ser idênticos aos latinos. Os navegadores costumam mostrar esses domínios na forma codificada xn--, o que já é um sinal de alerta.

Se você chegou por um link em um e-mail, mensagem ou anúncio, digite você mesmo o endereço da marca ou use um favorito.

2. Verifique a idade do domínio

Lojas de golpe geralmente ficam em domínios recém-registrados, porque os mais antigos são denunciados e bloqueados. Consulte a data de registro com o verificador de idade de domínio ou o registro completo na consulta WHOIS (os registros modernos respondem via RDAP, o sucessor do WHOIS).

• Um domínio registrado há poucas semanas que diz ter "20 anos de experiência" é um grande sinal de alerta.
• Um domínio novo, por si só, não é prova de nada: todo negócio legítimo também começa com um domínio novo.
• Um domínio antigo também não é prova de honestidade. Domínios expirados são comprados e reutilizados, e sites estabelecidos são hackeados.

Nosso artigo sobre o que a idade do domínio realmente significa explica como interpretar as datas de registro e de expiração.

3. HTTPS e cadeado não significam "confiável"

O cadeado só indica que a conexão entre você e o servidor é criptografada. Ele não diz nada sobre quem administra o site. Certificados gratuitos são emitidos automaticamente em minutos, e páginas de phishing usam HTTPS como algo natural.

O que os problemas de HTTPS revelam: se uma loja ou página de login não tem HTTPS, tem um certificado expirado ou um certificado de outro domínio, saia. Você pode ver os detalhes (emissor, datas de validade, quais nomes ele cobre) no verificador de SSL.

4. Quem está por trás do site?

Um negócio real pode ser identificado. Procure por:

• razão social, endereço registrado e, em muitos países, um número de registro ou de identificação fiscal, e depois confira esse número no registro oficial de empresas do país;
• um telefone que funcione e um e-mail no domínio da própria empresa, não apenas um formulário de contato ou uma caixa de e-mail gratuita;
• termos de venda, política de devolução e política de privacidade escritos para essa loja, e não textos copiados com o nome de outra empresa esquecido no meio;
• um endereço físico que não seja um apartamento residencial nem um local aleatório quando você o procura no mapa.

A falta de informações não prova fraude, mas informações que não batem (uma loja de "Londres" com um número de empresa que não existe) são um alerta sério.

5. Procure avaliações fora do site

As avaliações nas páginas da própria loja são escritas ou selecionadas por ela. Pesquise por sitename.com reviews e sitename.com scam, e confira plataformas independentes como Trustpilot, fóruns e redes sociais.

Lembre-se de que avaliações falsas existem em todas as plataformas. Desconfie de uma enxurrada de avaliações de cinco estrelas publicadas em poucos dias, de textos genéricos sem detalhes e da ausência total de avaliações em uma loja que diz ter milhares de clientes. Reclamações detalhadas que descrevem o mesmo padrão (pagou, nada chegou, o suporte parou de responder) valem mais do que qualquer nota.

6. Formas de pagamento e preços

• Cartão ou PayPal no checkout dão a você um caminho de volta: o chargeback do cartão e os programas de proteção ao comprador existem justamente para casos de "produto nunca chegou" (as regras dependem do seu banco e do seu país).
• Apenas transferência bancária, criptomoeda ou gift cards, ou um pedido para pagar "direto ao gerente", é um dos sinais mais fortes de golpe. Dinheiro enviado assim é muito difícil de recuperar.
• Preços muito abaixo dos demais, contagens regressivas permanentes de "últimas 2 horas" e "restam apenas 3" em todos os produtos são táticas de pressão. Grandes descontos existem, mas não em tudo, todos os dias.

7. Consulte o Google Safe Browsing e um relatório de confiança do domínio

O status do Safe Browsing do Google pode ser consultado para qualquer site em transparencyreport.google.com/safe-browsing/search. Ele mostra se o Google considera o site perigoso no momento (phishing, malware, software indesejado). Um resultado limpo significa "ainda não sinalizado", não "seguro": sites de golpe novos muitas vezes ainda não estão em nenhuma lista.

Para uma visão técnica mais ampla, execute a verificação de confiança do domínio: HTTPS, certificado, cabeçalhos de segurança, registros DNS e de e-mail, boas práticas básicas de SEO. Um site bem configurado não é automaticamente honesto, mas uma loja que diz ser uma grande marca e não tem nenhum dos itens básicos é suspeita. Como interpretar esse relatório está explicado no guia de verificação de confiança do domínio. O scanner de segurança de sites acrescenta uma verificação passiva de sinais de código malicioso, software desatualizado com vulnerabilidades conhecidas e registros no URLhaus.

Como verificar um link suspeito sem clicar nele

Se o link chegou em uma mensagem, não o abra para "ver o que acontece". Em vez disso:

1. Veja o destino real. No computador, passe o mouse sobre o link; no celular, mantenha o dedo pressionado sobre ele e leia o endereço na prévia, sem abrir.
2. Expanda links curtos. Encurtadores escondem o destino. Cole a URL curta no verificador de redirecionamentos: ele segue cada etapa no nosso servidor e mostra onde a cadeia termina, sem carregar a página no seu navegador. Mais sobre como ler cadeias: como verificar redirecionamentos.
3. Consulte os scanners. O VirusTotal verifica uma URL em dezenas de fornecedores de segurança; o URLhaus rastreia endereços que distribuem malware; o Google Safe Browsing cobre phishing. Vários resultados limpos tranquilizam, mas ainda não são garantia.
4. Faça o caminho mais longo. Se a mensagem diz ser do seu banco ou de um serviço de entrega, abra o aplicativo deles ou digite o endereço você mesmo e procure a mesma notificação lá.

Checklist rápido

• O domínio está escrito exatamente certo e a marca é o domínio real, não um subdomínio.
• O domínio não tem dias ou semanas de vida, ou, se tiver, todo o resto confere.
• O HTTPS funciona e o certificado corresponde ao domínio (necessário, mas não suficiente).
• Os dados da empresa existem e correspondem ao registro oficial.
• Existem avaliações independentes e elas não descrevem a mesma reclamação repetidamente.
• Você pode pagar com cartão ou PayPal; ninguém pede criptomoeda, gift cards ou transferências.
• O Google Safe Browsing e os scanners de segurança não sinalizam o site.

Se você já pagou ou digitou uma senha

• Pagou com cartão: ligue para o seu banco imediatamente, bloqueie o cartão se os dados foram informados e pergunte sobre a contestação da compra (chargeback). Os bancos têm prazos, então não espere.
• Pagou via PayPal ou marketplace: abra uma disputa pela central de resolução deles.
• Digitou uma senha: altere-a no site verdadeiro e em todos os lugares onde você a reutilizou, ative a autenticação em dois fatores e saia das outras sessões.
• Denuncie o site: ao Google Safe Browsing (o formulário "report phishing"), à empresa de hospedagem ou ao registrador indicado no WHOIS, e ao CERT nacional ou à autoridade de defesa do consumidor do seu país. As denúncias ajudam a bloquear o site para a próxima pessoa.
• Guarde as provas: capturas de tela, a URL, confirmações de pedido e comprovantes de pagamento.