Como saber se um site é confiável: confira o endereço letra por letra, veja há quanto tempo o domínio existe, confirme o CNPJ, pesquise a reputação e, antes de pagar, leia o nome de quem vai receber o Pix. Sozinho, o cadeado na barra de endereço não prova nada, porque golpista também tem certificado. Fazendo com calma, esses testes levam cerca de cinco minutos, e a Black Friday de 27/11 é um bom motivo para aprender agora: em 2025, 74% das tentativas de fraude medidas pela Serasa aconteceram antes da própria data.
Os 7 testes para saber se um site é confiável
Faça na ordem. Se um teste reprovar com clareza, não precisa seguir para os próximos: feche a página.
1. Chegue pelo caminho certo
Digite o endereço no navegador ou abra o aplicativo oficial da loja. A orientação de Procons citados pelo Olhar Digital é não tocar no link recebido por e-mail, WhatsApp ou rede social sem antes checar o canal oficial. Boa parte dos golpes termina aqui: sem o link, a página falsa não tem como aparecer.
2. Leia o endereço letra por letra
O golpe mais comum troca uma letra e copia o resto da loja. É como “exemplo.com.br” virar “exenplo.com.br”, difícil de notar na tela do celular. A Serasa chama isso de typosquatting e cita variações com letras dobradas ou números no lugar de letras. Confira também o final do endereço: uma “loja.com.br.oferta.xyz” pertence ao site “oferta.xyz”, e não à loja.
3. Veja quando o domínio foi criado
Essa é a verificação que quase ninguém faz. Uma loja com 19 anos de história e uma que nasceu na semana passada podem ter a mesma aparência. Para endereços .br, a consulta é grátis no Whois do Registro.br: digite o domínio e olhe a data de criação. Fizemos o teste em 02/11 com duas lojas conhecidas de hardware.
| Domínio | Registrado em | Leitura |
|---|---|---|
| pichau.com.br | 28/06/2007 | 19 anos de endereço |
| terabyteshop.com.br | 18/05/2006 | 20 anos de endereço |
| site de oferta criado há poucos dias | semanas antes da promoção | sinal de alerta forte |
Um domínio novo não condena sozinho, porque toda empresa um dia foi nova. O que acende o alerta é a combinação: endereço recente, desconto enorme e pagamento só por Pix.
4. Confirme o CNPJ e o contato
Procure o CNPJ no rodapé e confira na consulta da Receita Federal se ele está ativo e se a razão social combina com a loja. A Serasa recomenda desconfiar de quem só informa e-mail gratuito e buscar o endereço no mapa. Se não houver CNPJ em lugar nenhum, o teste já acabou.
5. Pesquise a reputação
Busque o nome do site com as palavras “golpe” e “reclamação” e consulte o Reclame Aqui. Quando quase não há nada sobre uma loja que promete o preço mais baixo do Brasil, a ausência também é informação.
6. Passe o link num verificador
Verificadores gratuitos ajudam, mas só apontam o que já foi denunciado. Um site criado ontem pode sair limpo. Use como reforço, nunca como resposta final.
| Ferramenta | O que faz | Limitação |
|---|---|---|
| Google Transparency Report | diz se o Google já marcou o endereço como perigoso | não avalia a loja, só o risco técnico |
| Detector do Reclame Aqui | cruza o site com a base de reclamações | site novo aparece com pouca informação |
| Site Confiável | dá uma análise de confiança do endereço | é um indício; confira nos outros testes |
Havia uma quarta opção clássica, a lista “Evite esses sites”, do Procon-SP. Em 02/11, a página da lista abriu com erro de certificado no nosso teste, então não a recomendamos como passo fixo até voltar ao normal. Repare na ironia: um site oficial e legítimo pode falhar no teste do cadeado, e um golpista pode passar nele. Por isso, nenhum sinal resolve sozinho.
7. Leia quem vai receber, antes de confirmar
Na tela do Pix, o nome e o CNPJ precisam ser os da loja. O CERT.br destaca essa conferência porque o Pix em si não falha: o problema é para quem o dinheiro vai. Se aparecer uma pessoa física ou uma empresa com outro nome, pare ali. Veja também os nossos alertas sobre o golpe do QR Code no Pix e o falso cadastro do Pix MEI.
O cadeado significa que o site é seguro?
Não. O cadeado e o HTTPS indicam que a conexão é criptografada, ou seja, que ninguém no meio do caminho lê o que você digita. Ele não diz quem está do outro lado. A própria Serasa lembra que sites fraudulentos também conseguem certificado. Sem cadeado, não compre; com cadeado, continue testando.
Sinais de site falso na Black Friday
Falsos descontos seguem um roteiro. Quanto mais itens desta lista aparecem juntos, maior a chance de golpe.
- Só aceita Pix ou boleto. O Procon de São João da Boa Vista (SP) recomenda desconfiar, porque o dinheiro cai na hora e não há intermediário para contestar.
- Contagem regressiva e estoque “acabando”. A pressa é proposital: quanto menos tempo na página, menos chance de notar a letra trocada.
- Preço muito fora do normal. Celular de lançamento pela metade do preço não costuma ser sorte. Compare com o nosso guia da Black Friday 2026.
- Anúncio em rede social. Na semana da Black Friday de 2025, a Serasa viu os anúncios falsos crescerem 147% e os perfis falsos, 101%.
Os números explicam por que começar cedo faz sentido. A Serasa contou 36,2 mil tentativas de fraude entre a quinta anterior à Black Friday e a Cyber Monday de 2025, somando R$ 37,4 milhões em risco. Na sexta da promoção, foram 9,5 mil. Os golpistas preparam a estrutura antes, então o perigo já está no ar enquanto você pesquisa preço.
Caí no golpe: o que fazer
Fale com o seu banco no mesmo dia, pelo aplicativo ou telefone, e peça a devolução pelo MED, o Mecanismo Especial de Devolução. O prazo para pedir é de até 80 dias depois do Pix, mas agir logo aumenta a chance de encontrar saldo na conta do golpista.
- Acione o banco e anote o protocolo. Ele tem até 7 dias corridos para analisar.
- Guarde as provas: prints da página, endereço, comprovante e conversas.
- Registre o boletim de ocorrência, que muitos estados aceitam pela internet.
- Acompanhe o caso. Confirmada a fraude, o valor volta em até 96 horas, inteiro ou em parte, conforme o saldo. A instituição recebedora pode seguir bloqueando valores por até 90 dias depois da transação.
- Se digitou cartão ou senha, bloqueie o cartão e troque a senha a partir de um aparelho limpo.
Comprou com cartão de crédito? Peça a contestação à operadora. O Procon citado acima aponta o cartão e as plataformas de pagamento como opções mais seguras para compras em loja desconhecida. O MED não garante o reembolso, e é por isso que o teste antes do pagamento vale tanto.
Minha opinião
Quem caiu em golpe de site falso não é burro. Um site copiado por alguém competente passa fácil por qualquer pessoa num celular, às 23h, com uma contagem regressiva correndo na tela. Eu trabalho procurando defeitos em sistemas, e mesmo assim não confio no meu olho para ver um “rn” no lugar de um “m”.
Por isso prefiro tratar compra online como checklist, não como intuição. Teste de software é assim: ninguém olha a tela e diz “parece certo”. A pessoa define o que precisa ser verdade e confere um item por vez. Aqui, o item que mais vale é o último, o nome do recebedor, porque ele não dá para falsificar tão bem quanto um logotipo.
Também acho que deveríamos parar de ensinar “procure o cadeado” como se fosse a resposta. Esse conselho envelheceu mal. Hoje, ele dá uma falsa sensação de segurança justamente para quem tem menos experiência.
Perguntas frequentes
Como saber se um site é seguro para compras?
Chegue pelo endereço oficial, confira a data do domínio e o CNPJ, pesquise a reputação e confirme o nome do recebedor antes de pagar.
Onde testar se um site é confiável?
No Google Transparency Report, no detector do Reclame Aqui e no Site Confiável. Eles só conhecem o que já foi denunciado, então use como reforço.
Como identificar uma plataforma fake?
Domínio recente, sem CNPJ válido, pagamento só por Pix, pressa na tela e recebedor com outro nome são os sinais mais fortes.
Site com cadeado é confiável?
Não necessariamente. O cadeado protege a conexão, mas não diz quem é o dono do site.
Como ver quando um site foi criado?
Para endereços .br, use o Whois do Registro.br. Para .com e outros, serviços de Whois internacionais mostram a mesma data.
Paguei e era golpe. Consigo o dinheiro de volta?
É possível, sem garantia. Peça o MED ao seu banco no mesmo dia: a devolução depende do saldo que restou na conta do golpista.
Já quase caiu em algum site falso? Conta nos comentários o que te fez desconfiar. Pode ajudar outra pessoa.
Resumo
- Chegue pelo endereço oficial e leia o domínio letra por letra.
- Use o Whois do Registro.br para ver a idade do domínio e a Receita para checar o CNPJ.
- O cadeado protege a conexão, não prova quem é o dono do site.
- Antes de pagar, confira o nome de quem recebe o Pix.
- Caiu no golpe? Peça o MED ao banco no mesmo dia e guarde as provas.
