Como saber se um site é confiável: 8 verificações antes de comprar

Um site falso hoje tem cadeado, layout profissional, avaliações de clientes e preço irresistível. Criar uma loja convincente leva poucas horas — e é por isso que os sinais visuais já não bastam para saber se um site é confiável.

O que não dá para falsificar com facilidade está por trás da página: há quanto tempo o domínio existe, em nome de quem ele está registrado e se esse nome bate com uma empresa real. Este guia mostra as oito verificações que respondem a isso — a maioria leva menos de um minuto e não exige conhecimento técnico.

As 8 verificações

1. Leia o endereço do jeito certo

É a verificação mais rápida e a que mais pega golpes. Sites falsos usam endereços que parecem os de lojas conhecidas: uma letra trocada (magazinelulza), uma palavra a mais (loja-oficial-marca.com), ou a marca colocada no começo de um endereço que pertence a outra pessoa.

A regra para achar o domínio verdadeiro: olhe para o trecho logo antes da primeira barra / e leia da direita para a esquerda até o segundo ponto — ou o terceiro, em extensões como .com.br.

https://www.marcafamosa.com.br.ofertas-hoje.com/produto

Nesse endereço, o domínio não é marcafamosa.com.br — é ofertas-hoje.com. Tudo o que vem antes é um subdomínio, que o dono de ofertas-hoje.com escreve como quiser.

⚠️ Desconfie também de links que chegam por anúncio, WhatsApp ou e-mail. Prefira digitar o endereço da loja ou chegar a ela pelo perfil oficial nas redes sociais.

2. Consulte há quanto tempo o domínio existe

Lojas falsas vivem pouco: são criadas, fazem vendas por algumas semanas e somem antes de acumular reclamações. Por isso, a idade do domínio é o sinal mais difícil de falsificar.

• Para domínios .br, use o WHOIS do Registro.br: digite o domínio e procure o campo “criado”. Nosso guia sobre como consultar um domínio no Registro.br mostra o passo a passo.
• Para .com e outras extensões internacionais, use o ICANN Lookup (lookup.icann.org) e procure “Creation Date”.

⚠️ Domínio criado há dias ou poucas semanas, vendendo com desconto enorme, é o sinal de alerta mais forte que existe. Não é prova de golpe — toda empresa já teve um domínio novo —, mas, somado a preço bom demais, pede cautela redobrada.

3. Veja em nome de quem o domínio está registrado

Nos domínios .br, a consulta ao Registro.br mostra o titular — e, quando o titular é uma empresa, aparecem a razão social e o CNPJ. Quando é pessoa física, os dados ficam ocultos, por causa da LGPD.

O que conferir:

• Loja grande com domínio em nome de pessoa física é incomum — e merece atenção.
• O CNPJ do titular deve bater com o CNPJ exibido no site. Se o rodapé mostra uma empresa e o domínio está em nome de outra, pergunte por quê.

Nos domínios .com, o titular costuma estar oculto por serviços de privacidade, então essa verificação funciona melhor com .br. Para entender o que cada campo significa, veja nosso guia sobre WHOIS.

4. Confira o CNPJ na Receita Federal

Todo site que vende no Brasil deve informar CNPJ, razão social e endereço — normalmente no rodapé. Se não informa, isso já é um problema.

Com o número em mãos, consulte o Comprovante de Inscrição e de Situação Cadastral no site da Receita Federal e confira:

• Situação cadastral: ATIVA. CNPJ baixado, suspenso ou inapto não deveria estar vendendo.
• Data de abertura. Empresa aberta semana passada vendendo como se fosse tradicional é incoerente.
• Atividade principal. Uma loja de eletrônicos registrada como salão de beleza não faz sentido.
• Nome e endereço batendo com o que o site informa.

⚠️ Golpistas às vezes copiam o CNPJ de uma empresa real. Por isso a verificação 3 importa: se o CNPJ do rodapé é de uma empresa verdadeira, mas o domínio está em nome de outra pessoa, o site pode estar usando uma identidade emprestada.

5. Entenda o que o cadeado prova — e o que não prova

O cadeado ao lado do endereço significa que a conexão é criptografada: ninguém no meio do caminho consegue ler o que você digita. Ele não diz nada sobre quem está do outro lado.

Certificados SSL gratuitos são emitidos automaticamente para qualquer domínio em minutos — e golpistas usam, como todo mundo. Um site sem cadeado deve ser evitado; um site com cadeado ainda precisa passar pelas outras verificações.

6. Consulte o Google Transparency Report

O Google mantém uma lista de sites que distribuem malware ou fazem phishing — é ela que gera a tela vermelha no navegador. Você pode consultar qualquer endereço no Transparency Report (transparencyreport.google.com/safe-browsing/search).

⚠️ “Nenhum conteúdo não seguro encontrado” não significa que o site é confiável — só que ainda não foi denunciado. Sites de golpe recém-criados costumam passar limpos nessa consulta.

7. Pesquise a reputação da empresa

• Reclame Aqui: busque pelo nome e pelo CNPJ. Veja o índice de respostas e de solução, não só se há reclamações — toda empresa grande tem reclamação; o que importa é se ela responde.
• consumidor.gov.br: a plataforma do governo mostra quais empresas participam e como resolvem as queixas.
• Lista “Evite estes sites” do Procon-SP: reúne lojas virtuais com reclamações não resolvidas.
• Uma busca com o nome da loja e a palavra “golpe” leva segundos e às vezes resolve tudo.

⚠️ Ausência de reclamações não é prova de nada — um site criado há duas semanas também não tem nenhuma.

8. Desconfie da forma de pagamento

A forma de pagamento diz muito sobre quem está do outro lado:

• Desconto grande só no Pix é um padrão comum de golpe: o Pix é instantâneo e difícil de reverter.
• Pix para pessoa física, ou para um nome diferente do da loja, é sinal de alerta forte — confira o nome do recebedor no aplicativo do banco antes de confirmar.
• Boleto: o aplicativo do banco mostra o beneficiário antes do pagamento. Se não for a empresa que você acha que está pagando, pare.
• Cartão de crédito e intermediários de pagamento oferecem mecanismos de contestação que o Pix não oferece.

Sinais de alerta rápidos

Sinal	Por que preocupa
Preço muito abaixo de todos os concorrentes	É a isca de quase todo golpe
Domínio criado há poucos dias ou semanas	Lojas falsas vivem pouco
CNPJ ausente, inválido ou de outra empresa	Loja legítima informa e o número bate
Contato só por WhatsApp ou formulário	Empresa real tem endereço e telefone
E-mail de contato em Gmail ou Hotmail	Empresas usam e-mail com o próprio domínio
Contagem regressiva e “últimas unidades” o tempo todo	Pressa é a principal ferramenta do golpe
Desconto extra só no Pix	Pagamento instantâneo e difícil de reverter
Endereço que imita uma marca conhecida	O domínio real é outro

Caí num golpe. E agora?

1. Fale com o seu banco imediatamente. Se o pagamento foi por Pix, peça a abertura do MED — Mecanismo Especial de Devolução. Quanto mais rápido, maior a chance de recuperar o valor. Se foi cartão, peça a contestação da compra.
2. Registre um boletim de ocorrência — a maioria dos estados permite fazer pela internet, na delegacia eletrônica.
3. Denuncie o site ao Google, pela página de denúncia de phishing do Safe Browsing, e ao CERT.br, que recebe notificações de fraudes na internet brasileira. O CERT.br é o centro de resposta a incidentes do NIC.br — veja quem é quem na internet brasileira.
4. Registre a reclamação no consumidor.gov.br ou no Procon do seu estado.
5. Guarde tudo: prints das páginas, comprovantes, conversas e o endereço exato do site.

Se você tem um site: como mostrar que ele é confiável

As mesmas verificações que o cliente faz no seu site dizem se ele vai comprar. E ter um site já coloca a empresa à frente: segundo o Cetic.br, quase metade das pequenas empresas brasileiras ainda não tem um — veja os dados completos. Algumas das mais importantes estão sob o seu controle:

• Registre o domínio em nome da empresa, com o CNPJ. É o que faz o titular no Registro.br bater com o rodapé — e evita o problema de o domínio ficar em nome de uma agência. Nosso guia sobre como registrar um domínio mostra o processo.
• Mostre CNPJ, razão social, endereço e telefone no rodapé de todas as páginas.
• Use e-mail com o seu domínio. contato@suaempresa.com.br passa uma confiança que um endereço gratuito não passa — veja nosso guia sobre e-mail corporativo.
• Mantenha o site seguro e atualizado. Um site invadido pode virar loja falsa sem você saber — e ganhar a tela vermelha do Google. Nosso guia sobre site invadido mostra como agir.

Perguntas frequentes

Como saber se um site é confiável para comprar?
Leia o endereço com atenção, consulte a data de criação do domínio no Registro.br ou no ICANN Lookup, confira o CNPJ na Receita Federal e pesquise a reputação da empresa no Reclame Aqui e no consumidor.gov.br. Domínio muito novo com preço bom demais é o sinal de alerta mais forte.

Site com cadeado é seguro?
O cadeado só garante que a conexão é criptografada. Ele não diz nada sobre quem está do outro lado — certificados gratuitos são emitidos para qualquer domínio em minutos, e golpistas também usam. Site sem cadeado deve ser evitado; site com cadeado ainda precisa passar pelas outras verificações.

Como ver quando um domínio foi criado?
Para domínios .br, use o WHOIS do Registro.br e procure o campo “criado”. Para .com e outras extensões internacionais, use o ICANN Lookup e procure “Creation Date”. A consulta é gratuita e leva segundos.

Como saber em nome de quem está um domínio .br?
A consulta WHOIS do Registro.br mostra o titular. Quando é uma empresa, aparecem a razão social e o CNPJ; quando é pessoa física, os dados ficam ocultos por causa da LGPD. O CNPJ do titular deve bater com o CNPJ que o site exibe.

Como consultar o CNPJ de um site?
Pegue o número no rodapé do site e consulte o Comprovante de Inscrição e de Situação Cadastral no site da Receita Federal. Confira se a situação é ativa, a data de abertura, a atividade principal e se o nome e o endereço batem com os do site.

O Reclame Aqui é suficiente para saber se um site é confiável?
Não sozinho. Ele mostra como a empresa trata as reclamações — o que é útil —, mas um site de golpe recém-criado ainda não tem reclamação nenhuma. Use junto com a idade do domínio e o CNPJ.

Por que desconfiar de desconto só no Pix?
Porque o Pix é instantâneo e difícil de reverter, o que o torna o meio preferido de quem aplica golpes. Antes de confirmar, confira no aplicativo do banco o nome do recebedor: se for pessoa física ou um nome diferente do da loja, não pague.

Caí em um golpe. O que fazer?
Fale com o seu banco imediatamente — no Pix, peça a abertura do Mecanismo Especial de Devolução; no cartão, a contestação. Depois, registre um boletim de ocorrência, denuncie o site ao Google e ao CERT.br, e registre a reclamação no consumidor.gov.br ou no Procon. Guarde prints e comprovantes.

Conclusão

Um site falso consegue copiar quase tudo — o layout, as fotos, as avaliações e até o cadeado. O que ele não consegue copiar é o tempo e a identidade: há quanto tempo o domínio existe, em nome de quem ele está e se esse nome é uma empresa real e ativa.

Por isso as verificações que mais funcionam são as mais simples. Ler o endereço até a primeira barra, consultar a data de criação do domínio e conferir o CNPJ levam juntas menos de dois minutos — e derrubam a maioria dos golpes antes do pagamento.

E, na dúvida, desconfie da pressa. Contagem regressiva, estoque acabando e desconto só no Pix existem para você não fazer exatamente essas verificações.