Para saber se um site é confiável, gaste dois minutos com cinco verificações antes de digitar uma senha ou um número de cartão: leia com atenção o nome de domínio real, descubra a idade do domínio com uma consulta WHOIS, veja quem emitiu o certificado com uma consulta SSL, siga qualquer link encurtado ou de rastreamento com um verificador de redirecionamentos para ver aonde ele realmente leva e passe o endereço pelo status do site no Google Safe Browsing. Nenhuma verificação isolada prova que um site é seguro, mas sites golpistas quase sempre falham em duas ou três ao mesmo tempo. Este guia mostra cada verificação com ferramentas gratuitas, explica o que os resultados significam e lista os sinais de alerta que mais importam.
Por que o cadeado sozinho não diz que um site é seguro
Durante anos, disseram para procurarmos o cadeado. Esse conselho está ultrapassado. O cadeado (HTTPS) só significa que a conexão entre o seu navegador e o servidor é criptografada. Ele não diz nada sobre quem mantém o site nem se essa pessoa é honesta. Certificados gratuitos podem ser emitidos automaticamente em minutos para qualquer um que controle um domínio, então páginas de phishing e lojas falsas usam HTTPS do mesmo jeito que empresas de verdade.
Por isso, trate o HTTPS como o mínimo, não como um veredito. Em 2026, um site sem HTTPS é um sinal de alerta para qualquer coisa que envolva login ou pagamento, mas um site com HTTPS ainda precisa das verificações abaixo.
Checklist rápido para saber se um site é confiável
| Verificação | Ferramenta gratuita | Bom sinal | Sinal de alerta |
|---|---|---|---|
| Nome de domínio exato | Analisador de URL, conversor Punycode | O nome da marca é o domínio registrado, logo antes de .com, .org etc. | Palavras a mais, letras trocadas, extensões estranhas ou um domínio xn-- |
| Idade do domínio | Consulta WHOIS | Registrado há anos e renovado a longo prazo | Criado há dias ou semanas |
| Certificado | Consulta SSL | Válido, corresponde ao domínio e às vezes indica o nome da organização | Vencido, não corresponde ou cobre um nome sem relação |
| Aonde os links levam de verdade | Verificador de redirecionamentos | Termina no domínio que você esperava | Passa por domínios sem relação ou termina em outro lugar |
| Hospedagem | Verificador de hospedagem de sites | Hospedagem compatível com o porte da empresa | Uma grande marca em uma hospedagem barata, ou uma hospedagem sem relação com a empresa que o site diz ser |
| Ameaças conhecidas | Status do site no Google Safe Browsing | Nenhum conteúdo não seguro encontrado | Marcado como phishing ou malware |
Passo 1: leia o nome de domínio real
A maioria dos sites falsos é descoberta aqui mesmo, porque o golpe depende de você não ler o endereço. O que importa é o domínio registrado: o nome que vem logo antes da extensão (.com, .com.br, .shop). Tudo o que fica à esquerda dele é um subdomínio, e o dono pode colocar ali o que quiser.
https://paypal.com.account-verify.help/loginpertence a account-verify.help, não ao PayPal.https://secure-amazon-orders.netpertence a quem registrou secure-amazon-orders.net. Colocar o nome da marca em um domínio mais longo não custa nada ao golpista.https://www.example.com@login-check.ioleva você para login-check.io. Tudo o que vem antes do@é tratado como nome de usuário e ignorado.
Quando um link for longo ou confuso, cole-o no analisador de URL. Ele divide o endereço em protocolo, host, caminho e query string, para você ver o host verdadeiro sem forçar a vista. Se o link estiver cheio de códigos como %2F, decodifique-o primeiro com o decodificador de URL.
Cuidado com letras parecidas
Alguns domínios usam caracteres de outros alfabetos que parecem idênticos às letras latinas, como um “а” cirílico no lugar de um “a” latino. Os navegadores guardam esses nomes internacionalizados em um formato chamado Punycode, que começa com xn--. Se você colar um domínio suspeito no conversor Punycode de IDN e ele virar uma sequência xn--, enquanto a marca que você esperava usa letras comuns, você não está no site verdadeiro.
Passo 2: veja a idade do domínio
Lojas falsas e páginas de phishing costumam durar pouco. Elas são registradas, usadas em uma campanha, denunciadas e abandonadas. Isso faz da idade do domínio um dos sinais mais úteis que você consegue em segundos.
- Abra a consulta WHOIS e digite só o domínio, como
example-store.com. - Encontre a data de criação. Uma loja que diz “atender clientes desde 2005” em um domínio criado no mês passado está mentindo sobre alguma coisa.
- Olhe a data de expiração. Empresas estabelecidas costumam renovar por vários anos. Um domínio registrado por exatamente um ano não prova nada, mas, junto com uma data de criação muito recente, se encaixa no padrão de golpe.
- Anote o registrador e os servidores de nomes. Você ainda não precisa julgá-los; apenas compare depois com o que a empresa diz sobre si mesma.
Hoje, a maioria dos nomes e endereços dos titulares fica escondida atrás de serviços de privacidade, e isso é normal. Não trate dados de contato ocultos, por si sós, como sinal de alerta. Para uma segunda opinião oficial, a ICANN mantém a própria consulta de dados de registro em lookup.icann.org.
Passo 3: confira o certificado SSL
O certificado não prova honestidade, mas pode revelar uma configuração descuidada ou falsa. Passe o domínio pela consulta SSL e verifique três coisas:
- Ele é válido hoje? Um certificado vencido em um site que pede pagamento é motivo para sair.
- Ele cobre exatamente este domínio? Os nomes listados no certificado devem incluir o endereço que você está visitando.
- O que diz o titular (subject)? A maioria dos certificados é de validação de domínio e só mostra o domínio. Algumas empresas maiores usam certificados de validação de organização, que também mostram o nome da empresa. Se ele aparecer e corresponder ao negócio, é um pequeno ponto positivo. Se não aparecer, é normal e não é um alerta.
Passo 4: siga o link antes de clicar
Mensagens de golpe costumam esconder o destino atrás de um encurtador de URL, de um link de rastreamento ou de uma cadeia de redirecionamentos. Em vez de clicar, cole o link no verificador de redirecionamentos. Ele solicita a URL e mostra cada salto com o código de status, até a página final.
Exemplo prático
Digamos que um SMS diga que a sua encomenda está retida e traga um endereço encurtado. O verificador de redirecionamentos mostra algo assim:
https://short.example/aB3x 301
https://track-redirect.example/r?id=91 302
https://parcel-fee-payment.example/pay 200O domínio final não tem nada a ver com nenhuma transportadora de verdade, e o último caminho pede um pagamento. Você descobriu isso sem carregar a página no seu próprio navegador. Se quiser entender melhor os códigos de redirecionamento, veja o nosso guia para verificar redirecionamentos 301 e 302.
Passo 5: veja onde o site está hospedado
O verificador de hospedagem de sites mostra qual provedor serve o site. Use-o para conferir a coerência, não como veredito. Grandes marcas costumam rodar em infraestrutura própria ou em um grande provedor de nuvem e CDN. Se um site diz ser um banco importante, mas está em uma hospedagem compartilhada barata, tem algo errado. Para mais detalhes, uma consulta de IP mostra a rede e a localização aproximada do servidor, e uma consulta DNS lista os registros. O nosso guia de registros DNS explica o que cada registro significa.
Passo 6: confira o status no Google Safe Browsing
O Google oferece um verificador gratuito de status de sites no Relatório de Transparência, em transparencyreport.google.com/safe-browsing/search. Digite o endereço e ele informa se o Google encontrou, no momento, conteúdo não seguro ali, como phishing ou malware. Um resultado limpo só significa que nada foi detectado ainda. Sites de golpe recém-criados muitas vezes ainda não foram sinalizados, e é exatamente por isso que a verificação da idade do domínio, no passo 2, é tão importante.
Sinais de alerta na própria página
As verificações técnicas acima pegam a maioria dos sites falsos. Estes sinais na página ajudam com o resto, principalmente com lojas virtuais falsas:
- Preços baixos demais em produtos muito procurados, muitas vezes com um cronômetro de contagem regressiva ou um “só restam 2”.
- Pagamento só por transferência bancária, Pix, cartão-presente, criptomoeda ou aplicativo de pagamento, sem proteção ao comprador.
- Nenhum contato real: nenhum endereço físico, só um formulário no site ou um e-mail gratuito.
- Conteúdo copiado ou genérico: páginas de políticas que citam outra loja, textos legais mal traduzidos ou fotos de produtos tiradas de outros sites.
- Pressão para agir agora: “sua conta será encerrada hoje”, “pague a taxa alfandegária em até uma hora”.
- Páginas de login que você abriu a partir de uma mensagem. Serviços de verdade raramente pedem que você entre por um link enviado por e-mail. Digite o endereço você mesmo ou use um favorito.
Erros comuns ao verificar um site
- Confiar nas avaliações do próprio site. Elas são fáceis de forjar. Pesquise o nome do domínio com “golpe” ou “avaliações” em sites independentes.
- Tratar um bom sinal como prova. Um domínio antigo pode ser comprado, e um certificado válido é gratuito. Procure concordância entre várias verificações.
- Verificar o subdomínio em vez do domínio. Faça o WHOIS do domínio registrado, não de
login.secure.brand.example.xyz. - Reutilizar uma senha em um site do qual você não tem certeza. Se precisar criar uma conta, use uma senha única. O nosso gerador de senhas cria uma com um clique, e o nosso guia sobre como criar uma senha forte explica como gerenciá-las.
O que fazer se você já digitou seus dados em um site falso
- Se você digitou uma senha, troque-a imediatamente no site verdadeiro e em qualquer outro site em que tenha usado a mesma. Ative a verificação em duas etapas.
- Se você digitou os dados do cartão, ligue para o seu banco ou para a operadora do cartão pelo número que aparece no verso e peça que bloqueiem o cartão e monitorem as cobranças.
- Denuncie a página ao Google pelo formulário de denúncia de phishing do Google Safe Browsing para que outras pessoas sejam avisadas. Se você perdeu dinheiro, registre também um boletim de ocorrência; no Brasil, muitos estados permitem fazer isso pela delegacia eletrônica. Nos Estados Unidos, também é possível denunciar golpes à FTC em ReportFraud.ftc.gov.
Perguntas frequentes
HTTPS significa que um site é confiável?
Não. O HTTPS só significa que a conexão é criptografada. Qualquer pessoa que controle um domínio pode conseguir um certificado gratuito, então sites de golpe também usam HTTPS. Trate-o como requisito mínimo e depois verifique o nome de domínio, a idade dele e os redirecionamentos.
Como posso saber a idade de um site?
Digite o domínio em uma consulta WHOIS e veja a data de criação. Um site que diz ter anos de história em um domínio registrado há poucas semanas é um forte sinal de alerta.
É seguro verificar um link suspeito com um verificador de redirecionamentos?
É muito mais seguro do que clicar, porque o verificador solicita a URL a partir do próprio servidor e só mostra os saltos e o endereço final. Mesmo assim, não abra a página final se ela parecer errada.
Dados de WHOIS ocultos são sinal de golpe?
Não, por si sós. Hoje a maioria dos domínios usa proteção de privacidade, inclusive muitas empresas legítimas. Concentre-se na data de criação e em se as outras verificações concordam.
O que significa xn-- em um nome de domínio?
Indica um domínio Punycode, que é a forma como os navegadores guardam nomes com caracteres não latinos. Isso é legítimo em muitos idiomas, mas, se uma marca que normalmente usa letras latinas simples aparecer como xn--, você pode estar em um site imitador.
Um site pode ser confiável e ainda assim falhar em uma dessas verificações?
Sim. Uma empresa pequena e nova terá um domínio recente, e muitos sites legítimos usam hospedagem barata. Por isso, avalie as verificações em conjunto. Um resultado estranho é motivo para olhar com mais atenção; vários ao mesmo tempo são motivo para sair.
