Para identificar um domínio falso com punycode, copie o link, deixe só o nome do domínio e converta para Punycode. Se um nome que deveria ter só letras comuns, como nubank.com.br ou paypal.com, voltar começando com xn--, ele tem letras de outro alfabeto e não é o site verdadeiro. Nosso conversor Punycode grátis faz isso em um clique, sem cadastro, em qualquer navegador.
Todas as conversões deste artigo foram feitas em 2 de novembro de 2026, ao vivo no conversor ou com a mesma função PHP que ele usa no nosso servidor (idn_to_ascii, ICU 71.1). O comportamento dos navegadores foi conferido no Chrome 156 e nas regras de IDN publicadas pelo Chromium e pela Mozilla.
O que significa xn-- em um domínio
Domínios podem ter letras de quase qualquer idioma: maçã.com.br, münchen.de, пример.рф. Só que o DNS entende apenas letras ASCII, números e hífens, então cada parte com caracteres especiais é guardada codificada em Punycode, com o prefixo xn--. maçã.com.br é, na verdade, xn--ma-tiap.com.br.
É aí que mora o golpe. O alfabeto cirílico tem letras idênticas às latinas: а (U+0430), е, о, р, с, у. Um domínio escrito com elas parece uma marca na tela, mas no DNS é outro nome, que qualquer pessoa pode registrar. É o chamado ataque homográfico de IDN. As letras na tela enganam; a codificação, não. Por isso converter para Punycode é o teste confiável.
Confira um link agora: cole o domínio no conversor Punycode e escolha Converter para Punycode/ASCII.
Como checar um domínio em 30 segundos
- Copie o link, não digite. No computador, clique com o botão direito e escolha Copiar endereço do link. No celular, toque e segure no link e escolha Copiar. Se você digitar, corrige as letras falsas sem perceber.
- Deixe só o domínio. Apague o
https://e, se houver um@antes da primeira barra, tudo até ele, inclusive. O caminho depois do domínio (/login) pode ficar. - Converta. Cole no conversor Punycode, escolha Converter para Punycode/ASCII e envie.
- Leia o resultado. Se voltar igual, todos os caracteres são ASCII comuns. Se alguma parte de uma marca que deveria ter só letras comuns agora começar com
xn--, feche a página.
Exemplos reais: o que o conversor mostra
Cada linha começa com o que você veria num e-mail, SMS ou WhatsApp. Os domínios falsos foram criados para este teste: não acesse.
| O que você vê | Resultado | O que significa |
|---|---|---|
аpple.com | xn--pple-43d.com | Falso: a primeira letra é cirílica. Teste ao vivo. |
nubаnk.com.br | xn--nubnk-6ve.com.br | Falso: o а é cirílico e some da parte legível. |
itаu.com.br | xn--itu-7cd.com.br | Falso: um único а trocado. |
аррӏе.com | xn--80ak6aa92e.com | Falso e todo em cirílico. É o domínio que Xudong Zheng registrou em 2017 para demonstrar o ataque. |
maçã.com.br | xn--ma-tiap.com.br | IDN legítimo: ç e ã fazem parte do português. |
ａｐｐｌｅ.com (largura total) | apple.com | Não é golpe: letras de largura total viram ASCII comum, igual no navegador. |
g00gle.com | g00gle.com | Volta igual, mas é falso: zeros são ASCII e nenhum teste de IDN pega isso. |
A parte legível antes do último hífen guarda só as letras ASCII do rótulo. Se faltam letras da marca ali (nubnk, itu), essas letras foram trocadas.
Converta sempre neste sentido, nunca ao contrário
Se alguém te mandar um endereço xn--, decodificar ajuda pouco. Passamos xn--80ak6aa92e.com por Converter para IDN/Texto e saiu аррӏе.com, que na maioria das fontes parece apple.com. Decodificar mostra o que o golpista quer que você veja. Codificar o que você vê mostra o que o domínio realmente é.
Por que o navegador nem sempre te protege
- Chrome, Edge e Brave (Chromium) analisam cada parte do domínio. Pela política de IDN publicada pelo Chromium, um rótulo que mistura latino, cirílico ou grego aparece como
xn--, e o mesmo vale para um rótulo todo em cirílico que imita letras latinas, exceto em domínios de países onde o cirílico é normal, como.ru,.ua,.bgou.kz. O Chrome pega casos comoаррӏе.comdesde a versão 58 (2017). - Firefox bloqueia misturas de alfabetos, mas o algoritmo de IDN publicado pela Mozilla permite, de propósito, domínios escritos inteiramente num alfabeto parecido. Para ver sempre a forma
xn--, abraabout:confige mudenetwork.IDN_show_punycodeparatrue. - Em todo o resto (e-mails, SMS, WhatsApp, PDFs, bios de redes sociais) o link é só texto desenhado numa fonte, e ninguém confere. É exatamente por esses canais que esses domínios chegam, e é aí que o conversor faz diferença.
Colar o link no Bloco de Notas também não revela nada: copiar e colar mantém as letras Unicode como estão. E o cadeado não prova nada. Um domínio falso pode ter um certificado válido como qualquer outro (a demonstração de Zheng rodava em HTTPS), emitido para o nome xn--. Veja como verificar um certificado SSL para entender o que ele prova e o que não prova.
Erros que dão a resposta errada
Colar a URL inteira
O conversor espera um domínio. Ao vivo, https://аpple.com/login virou xn--https://pple-49j.com/login, que não quer dizer nada. No modo Converter para IDN/Texto, https://xn--80ak6aa92e.com/ voltou sem mudança, então parecia limpo. Tire o https:// antes. O caminho não atrapalha: аpple.com/login dá xn--pple-43d.com/login.
O truque do @
Em https://accounts.google.com@аpple.com/, tudo antes do @ é um nome de usuário. O site que abriria é аpple.com. Se você colar a string inteira, o resultado sai embaralhado (accounts.google.xn--com@pple-46g.com), então confira só o que vem depois do @.
Ler o domínio pelo lado errado
Quem manda no domínio é a última parte. аpple.com.evil.example vira xn--pple-43d.com.evil.example, mas mesmo escrito com letras comuns, apple.com.evil.example pertence a quem tem evil.example. Leia o domínio da direita para a esquerda. No Brasil, o final certo de um banco costuma ser .com.br logo após o nome.
Vários domínios de uma vez
Converta um domínio por vez. Dois domínios em linhas separadas saem errados (a primeira linha terminou em .xn--com), porque a quebra de linha é tratada como parte de um rótulo.
Resultado vazio
Um Punycode inválido, como xn--zz.com, devolve a caixa de resultado vazia e sem mensagem de erro (teste ao vivo). Vazio não quer dizer seguro: quer dizer que o rótulo é inválido, o que num link já é suspeito.
Domínios só com letras comuns
rn se passando por m, 1 por l, 0 por o, ou palavras a mais como nubank-seguranca-app.com são ASCII puro e voltam iguais. Nesses casos, faça uma consulta Whois (o domínio real de uma marca costuma ter anos; um de phishing, muitas vezes semanas) e siga nosso guia de como saber se um site é confiável.
Quando xn-- é totalmente normal
xn-- sozinho não é sinal de golpe. Em português é comum: maçã.com.br é xn--ma-tiap.com.br, e qualquer domínio com ç ou acento tem a sua forma xn--. O domínio russo de teste пример.рф é xn--e1afmkfd.xn--p1ai. O alerta é mais específico: um rótulo xn-- no nome de uma marca que se escreve só com letras sem acento, como um banco ou uma loja conhecida.
Se você encontrar um falso
- Não digite nada na página. Abra o site verdadeiro por um favorito ou digitando o endereço você mesmo. Para bancos, prefira o app oficial.
- Repare no seu gerenciador de senhas: ele preenche pelo domínio exato, então se não oferecer o seu login salvo, o domínio não bate.
- Denuncie o link no Google Safe Browsing (safebrowsing.google.com, Report phishing) e avise a marca imitada.
- Se o link veio num QR code (um Pix, por exemplo), decodifique primeiro com o leitor de QR code e depois confira o domínio. O resto está em como saber se um QR code é seguro.
Tem um link suspeito agora? Passe o domínio pelo conversor Punycode. É grátis e não pede cadastro; visitantes têm 5 usos por dia e uma conta grátis (sem spam) remove esse limite. Para links encurtados, o verificador de redirecionamentos mostra para onde levam sem abrir, e a consulta DNS mostra para onde um domínio aponta.
Perguntas frequentes
O que significa xn-- numa URL?
Marca um rótulo em Punycode: a forma ASCII de uma parte do domínio que tem letras fora do ASCII. O que vem depois de xn-- codifica essas letras. Para conferir um link, codifique o nome que você vê e compare.
Todo domínio com xn-- é golpe?
Não. Domínios com ç, acentos ou em alfabetos como cirílico, chinês e devanágari usam xn-- de forma legítima. Só é sinal de alerta num nome que deveria ter apenas letras comuns, como um banco ou uma grande marca.
Por que o navegador mostra alguns domínios como xn--?
Chrome, Edge, Firefox e Safari mostram a forma xn-- quando o domínio parece arriscado, por exemplo quando mistura letras latinas e cirílicas. Os navegadores Chromium também pegam imitações inteiras em cirílico fora de domínios cirílicos. O Firefox as mostra em Unicode, a não ser que você ative network.IDN_show_punycode.
O cadeado prova que o site é verdadeiro?
Não. Um domínio falso consegue um certificado HTTPS válido em minutos. O cadeado só diz que a conexão é criptografada com aquele domínio exato, e esse domínio pode ser o falso.
Por que colar o link num editor de texto não mostra xn--?
Copiar e colar mantém os caracteres Unicode exatamente como são, então um а cirílico continua parecendo um a latino. Só uma conversão de verdade, como Converter para Punycode/ASCII no nosso conversor, mostra o nome codificado.
O conversor Punycode é grátis?
Sim. É grátis e não pede cadastro; ele envia ao nosso servidor só o texto que você cola, para converter. Visitantes têm 5 conversões por dia e uma conta grátis (sem spam) remove esse limite.
