Como saber se um site é confiável antes de se cadastrar

Um visual convincente é a coisa mais fácil de falsificar. Copiar logo, cores e layout leva minutos, então a primeira coisa a conferir é o endereço na barra do navegador. Leia o nome do domínio letra por letra e compare com o que você espera. Os truques mais comuns incluem letras trocadas ou duplicadas, uma palavra extra como login, seguro ou suporte ligada por hífen, uma terminação diferente, como um código de país, e caracteres de outro alfabeto que parecem idênticos às letras latinas.

Preste atenção em qual parte do endereço é o domínio de verdade. O que importa é o nome logo à esquerda da terminação, como com, com.br ou outro código de país, antes da primeira barra simples. Um endereço que começa com uma marca conhecida, seguida de um ponto e de um nome desconhecido, pertence a esse nome desconhecido. A marca na frente é só um subdomínio, que o dono daquele nome pode configurar como quiser.

O hábito mais seguro é acessar sites importantes digitando o endereço você mesmo ou usando um favorito, em vez de seguir links de e-mails, mensagens ou anúncios de busca. Golpistas compram, sim, anúncios que aparecem acima dos resultados reais da pesquisa, então um link no topo da página de resultados não prova nada por si só.

HTTPS significa que a conexão entre o seu navegador e o site é criptografada e que o certificado foi emitido para aquele domínio. Ele impede que o que você digita seja lido no caminho, o que é essencial em qualquer página que peça senha ou dados de pagamento. Um site sem HTTPS nunca deve receber nenhum dos dois.

O que o HTTPS não diz é se as pessoas por trás do domínio são honestas. Certificados são gratuitos e emitidos automaticamente, então sites de phishing usam HTTPS com a mesma naturalidade que os legítimos, e alguns navegadores até deixaram de mostrar o cadeado por esse motivo. Encare o HTTPS como um requisito mínimo, e não como sinal de confiabilidade.

Leve a sério os avisos do navegador. Um aviso de página inteira sobre erro de certificado, ou sobre um site denunciado por phishing ou malware, existe por um motivo, então feche a aba em vez de clicar para continuar. Você também pode abrir os detalhes do certificado pela barra de endereço para ver qual domínio ele cobre e quem o emitiu.

Uma empresa confiável diz quem ela é. Procure uma página de apresentação, formas de contato que funcionam e páginas legais: termos de uso, política de privacidade e uma explicação clara sobre reembolsos ou sobre como as disputas são tratadas. Leia essas páginas, em vez de só conferir se elas existem. Termos de verdade identificam quem opera o site, descrevem como o serviço funciona e batem com o que o site diz em outras partes. Texto padrão copiado de outra empresa, às vezes ainda com o nome dela, é um forte sinal de alerta.

Confira se as formas de contato fazem sentido para aquele tipo de negócio. Um formulário de suporte, um e-mail no próprio domínio do site e uma central de ajuda são normais. Um site que só atende por uma conta anônima de mensageiro, ou cuja página de contato está vazia, deixa você sem ter a quem recorrer quando algo dá errado. No Brasil, lojas on-line costumam informar a razão social e o CNPJ, dados que você pode conferir em consultas públicas.

Você também pode ver quando um domínio foi registrado usando uma ferramenta pública de consulta WHOIS ou RDAP. Dados do proprietário ocultos são comuns e não são suspeitos por si só, já que muitos registradores escondem essas informações por padrão, mas um domínio registrado há pouquíssimo tempo por trás de um site que diz ter uma longa história é uma incoerência que merece atenção.

Pesquise o nome do site junto com palavras como avaliações, reclamações ou golpe e leia o que aparece em plataformas independentes de avaliação, como o Reclame Aqui, em fóruns e em comunidades. Depoimentos no próprio site são escolhidos pelo site, então valem pouco.

Procure padrões, e não apenas a nota em estrelas. Avaliações genuínas variam em tamanho e tom, citam detalhes específicos e incluem algumas reclamações, de preferência com uma resposta mostrando como foram resolvidas. Sinais de alerta são uma enxurrada de avaliações curtas e elogiosas publicadas mais ou menos na mesma época, avaliadores sem nenhum outro histórico e muitos relatos do mesmo problema, como pedidos que nunca chegaram.

Um site novinho em folha pode simplesmente ainda não ter avaliações. Isso não prova que é golpe, mas significa que você deve começar com pouco e se apoiar mais nas outras verificações deste guia.

As formas de pagamento dizem muito. Pagamentos com cartão e serviços de pagamento consolidados costumam oferecer algum tipo de processo de contestação. Transferências bancárias ou Pix para contas de pessoas físicas, cartões-presente e transferências diretas de criptomoedas são, em geral, irreversíveis, então, depois que o dinheiro sai, fica muito difícil recuperá-lo. Um site que empurra você para métodos irreversíveis, ou oferece desconto para pagar fora do checkout normal, está jogando todo o risco nas suas costas.

Quando uma plataforma aceita um método irreversível, o que importa é como ela lida com os problemas. Procure saber para onde vai o seu dinheiro depois do pagamento, quando o vendedor de fato o recebe e o que acontece se o pedido vier errado. Uma plataforma confiável responde a essas perguntas nas páginas de ajuda ou nos termos antes mesmo de você se cadastrar e, se você não encontrar as respostas, trate isso como um alerta por si só.

Nunca digite os dados do cartão em uma página que você acessou por um link inesperado e desconfie de qualquer checkout que peça informações de que o pagamento não precisa, como a senha do seu e-mail ou uma foto do seu cartão.

Em um marketplace, a plataforma e o vendedor são partes diferentes, então você precisa avaliar os dois. Descubra se os vendedores passam por aprovação antes de poder vender, se os anúncios são revisados, o que o perfil do vendedor mostra e como os problemas são resolvidos. Um marketplace que deixa as negociações escaparem para fora do próprio sistema não oferece ninguém a quem recorrer quando elas dão errado.

Como exemplo do que observar, veja como o rStock lida com esses pontos. O rStock é um marketplace em que lojas independentes vendem produtos digitais, como contas, e a plataforma aprova as lojas antes que elas possam vender e revisa cada anúncio antes de ele entrar no ar. Os compradores pagam com o saldo no rStock, que é recarregado com criptomoedas pelo provedor de pagamentos Cryptomus, e o dinheiro fica retido em vez de ser liberado para a loja imediatamente. Depois da entrega, há um prazo limitado para abrir uma disputa, a loja responde primeiro e um moderador pode ser chamado se não houver acordo. Os perfis das lojas mostram o número de vendas, a avaliação e o saldo de seguro, que é um valor que a loja mantém na plataforma, e as posições patrocinadas são sinalizadas.

Seja qual for o marketplace, leia as regras antes do primeiro pedido, e não depois que surgir um problema, e siga os termos de uso de qualquer marca cuja conta ou serviço você comprar.

Alguns sinais são graves o bastante para encerrar a verificação sozinhos. Vá embora se um site pedir as suas senhas, os seus códigos de dois fatores ou a frase de recuperação de uma carteira de criptomoedas, pedir que você instale um programa de acesso remoto ou uma extensão de navegador para continuar, ou tentar levar a conversa e o pagamento para um mensageiro privado.

Outros sinais de alerta incluem cronômetros de contagem regressiva e pressão para agir agora, preços muito abaixo do que todo mundo cobra, promessas boas demais para ser verdade, formulários de cadastro que exigem documentos de identidade sem motivo claro e muitos links quebrados, erros de ortografia ou páginas que não levam a lugar nenhum. Uma falha pequena não prova fraude, mas várias juntas são um sinal claro.

Passar por essas verificações reduz o risco, mas não o elimina. Use uma senha exclusiva gerada por um gerenciador de senhas. De quebra, o gerenciador não vai oferecer o preenchimento do seu login salvo em um domínio que só imita o original, o que faz dele um detector de phishing bem útil.

Ative a autenticação em dois fatores se o site oferecer, informe apenas os dados de que o serviço realmente precisa e pense em usar um e-mail separado ou um alias para compras e cadastros. Depois de se registrar, confira se o e-mail de confirmação vem do mesmo domínio em que você se cadastrou e guarde recibos e confirmações de pedido até ter certeza de que tudo deu certo.