Como saber se um link ou site é seguro antes de clicar

Para saber se um link é seguro antes de clicar, olhe o domínio verdadeiro do endereço (a parte que fica logo antes da primeira barra, lida da direita para a esquerda) e desconfie de qualquer mensagem que crie pressa, prometa vantagem ou peça senha, código, pagamento ou instalação de app. Quando o assunto é banco, gov.br, entrega ou compra, o caminho mais seguro é ignorar o link e entrar pelo app ou digitando o endereço oficial você mesmo.

Nenhum teste dá certeza absoluta: páginas falsas surgem todos os dias e podem ainda não constar em nenhuma lista. Por isso, este guia junta o que observar na mensagem, como ler um endereço, quais verificações técnicas ajudam (Whois, certificado, redirecionamentos) e o que fazer se você já clicou.

Sinais de que a mensagem ou o link é falso

O golpe do link falso (phishing, ou “pescaria digital”) junta duas coisas: uma história que mexe com as emoções e um endereço que imita o de uma empresa conhecida. O CERT.br, grupo de resposta a incidentes mantido pelo NIC.br, resume o teste em três perguntas: a mensagem diz ser de uma pessoa ou organização conhecida? Envolve dinheiro, vantagem ou dados pessoais? Quer que você faça algo sem tempo para pensar? Com respostas “sim”, redobre a atenção. Os sinais mais comuns são:

• Urgência ou ameaça: “sua conta será bloqueada hoje”, “última chance”, “compra não reconhecida”.
• Pedido de dados sensíveis: senha, código recebido por SMS, número completo do cartão, foto de documento, selfie.
• Remetente estranho: número desconhecido, “número novo” de um parente, e-mail de um domínio que não é o da empresa.
• Endereço que não bate: nome da marca escrito errado, com hífens e palavras a mais, ou com uma terminação diferente da oficial.
• Link encurtado ou QR code que esconde o destino.
• Oferta boa demais: desconto enorme, prêmio, pontos expirando, dinheiro esquecido para resgatar.
• Pedido para instalar algo: “atualização de segurança”, app fora da loja oficial ou programa de acesso remoto.

Um detalhe que engana muita gente: golpistas usam dados vazados e públicos para parecer legítimos. Saber seu nome completo, seu CPF ou o último pedido que você fez não prova que a mensagem é verdadeira.

Como ler um endereço e achar o domínio verdadeiro

Um endereço como https://www.exemplo.com.br/conta/login tem três partes: o protocolo (https://), o nome do site (www.exemplo.com.br) e o caminho (/conta/login). Quem controla a página é o dono do domínio registrável, que no Brasil costuma ser a palavra logo antes de .com.br, .gov.br ou de outra terminação. Tudo o que fica à esquerda dele são subdomínios, que o dono cria como quiser.

Por isso, leia o nome do site da direita para a esquerda, a partir da primeira barra. Estes são os truques mais usados (todos os endereços da tabela são fictícios):

A terminação também ajuda. O registro de domínios .br é feito com CPF ou CNPJ, e algumas categorias têm regras extras: .gov.br, por exemplo, é restrita a instituições de governo, segundo o Registro.br. Um site que diz ser de um órgão público e não termina em .gov.br é suspeito. Já terminações como .com, .top ou .app podem ser registradas por qualquer pessoa em poucos minutos.

Letras de outros alfabetos

Alguns caracteres de outros alfabetos são quase idênticos aos nossos, como o “а” do alfabeto cirílico e o “a” latino. Contra esse truque, chamado de ataque homográfico, o Chrome e outros navegadores mostram o endereço em uma forma codificada, que começa com xn--, quando o nome mistura alfabetos de um jeito suspeito. Se você vir xn-- na barra de endereço de um site que deveria ser conhecido, feche a página.

Encurtadores e QR codes

Links encurtados e QR codes escondem o destino, por isso são os favoritos dos golpistas, embora empresas sérias também os usem. Para descobrir aonde um link encurtado leva sem abri-lo no seu aparelho, cole-o no analisador de headers HTTP: a ferramenta segue até 5 redirecionamentos a partir do nosso servidor e mostra o caminho completo. Ela tem dois limites: não enxerga redirecionamentos feitos por JavaScript, e páginas de golpe às vezes mostram conteúdo diferente para servidores e robôs.

Com QR codes, o CERT.br recomenda evitar códigos de fontes desconhecidas e conferir se não há um adesivo colado por cima do original em mesas de restaurante, estacionamentos, cartazes e caixas eletrônicos. Ao pagar um Pix por QR code, confira o nome e o CNPJ de quem vai receber antes de confirmar.

Para ver qualquer endereço sem abrir: no computador, passe o mouse sobre o link e leia o destino no canto inferior da janela; no celular, mantenha o dedo sobre o link, escolha copiar e cole em uma nota.

O cadeado não prova que o site é honesto

O https e o antigo cadeado indicam apenas que a conexão é criptografada e que o certificado foi emitido para aquele domínio. Eles não dizem nada sobre quem está do outro lado: quem controla um domínio, inclusive um de golpe, obtém um certificado gratuito em minutos. Em 2023, a equipe do Chrome informou que quase todos os sites de phishing usam HTTPS e que, em uma pesquisa de 2021, só 11% dos participantes entendiam corretamente o que o cadeado indica. Por isso, desde o Chrome 117 o cadeado da barra de endereço deu lugar a um ícone neutro de ajustes.

O https continua importante de outro jeito: depois que você confirmou que o domínio é o verdadeiro, ele impede que alguém no caminho leia ou altere o que você envia, por exemplo em uma rede aberta (veja os riscos do Wi-Fi público). O contrário vale como alerta: se o navegador avisa que a conexão não é segura em uma página que pede senha, não continue. Para ver os detalhes, o verificador de certificado SSL mostra o emissor, a validade e os nomes cobertos pelo certificado.

Como checar o domínio: idade, dono e reputação

Quando a dúvida é sobre um site, como uma loja desconhecida ou uma página de cobrança, algumas consultas rápidas revelam muito:

Ferramentas para verificar links

Use essas consultas como complemento do bom senso, nunca como carimbo de “seguro”. Um link com zero alertas que pede a senha do seu banco continua sendo golpe.

Golpes com link mais comuns no Brasil

Os temas mudam com o calendário (Imposto de Renda, IPVA, Black Friday, eleições, grandes eventos), mas os roteiros se repetem. A tabela reúne os mais citados pelo CERT.br e pela Febraban:

O golpe do código do WhatsApp é explicado pela Febraban: os criminosos tentam ativar a sua conta em outro aparelho e precisam do código que o app envia por SMS. A defesa é ativar a verificação em duas etapas do app, com passo a passo no guia de verificação em duas etapas. Em e-mails, o nome do remetente pode ser falsificado com facilidade; entenda como os domínios se protegem disso em SPF, DKIM e DMARC.

Proteja-se antes do clique

• Deixe a proteção do navegador ligada. No Chrome do computador, abra o menu de três pontos > Configurações > Privacidade e segurança > Segurança e escolha Proteção padrão ou Proteção reforçada. No celular, a opção fica em um caminho parecido, dentro de Configurações > Privacidade e segurança. Edge, Firefox e Safari têm proteções equivalentes, normalmente ativas por padrão.
• Mantenha sistema, navegador e apps atualizados. As atualizações fecham falhas que páginas maliciosas poderiam explorar.
• Use um gerenciador de senhas. Ele preenche a senha apenas no domínio em que ela foi salva. Se o gerenciador não oferece preencher a senha na página “do seu banco”, desconfie do endereço antes de digitar qualquer coisa.
• Entre nos serviços importantes pelo app ou pelos favoritos, nunca pelo link de uma mensagem. Ao usar buscadores, confira se o endereço do resultado é o legítimo, porque anúncios falsos também aparecem no topo.
• Não conte com a VPN para isso. Uma VPN protege a conexão e esconde seu IP, mas não impede que você digite a senha em uma página falsa.

Cliquei em um link suspeito: o que fazer agora

Agir rápido reduz o prejuízo. O que fazer depende do que aconteceu depois do clique:

Em todos os casos, guarde evidências (prints, links, números de telefone, comprovantes e protocolos de atendimento), registre boletim de ocorrência se houve prejuízo ou uso dos seus dados e denuncie o perfil, a mensagem ou o anúncio na plataforma onde ele apareceu. Avise também seus contatos se alguém estiver usando seu nome para pedir dinheiro.