Como diferenciar um site fake
de um site real.

Para diferenciar um site fake de um site real, confira o endereço completo, abra o canal oficial por conta própria e compare empresa, oferta e recebedor do pagamento. HTTPS protege a conexão, mas não é selo de honestidade. A idade do domínio também é só contexto, nunca prova de fraude.

Por Prudents·9 min de leitura

31/08/2026 19h46·Atualizado em 24/09/2026 17h09

Pessoa aponta para um domínio fictício na barra de endereço do navegador

Uma página falsa pode copiar nome, fotos, descrição, avaliações e rodapé de uma loja verdadeira. Por isso, aparência profissional não basta para confirmar quem controla o endereço.

Comece pelo domínio registrável, que é a parte principal do endereço ligada ao responsável pelo site. Depois confira o canal oficial e o pagamento fora da página recebida. Nenhum sinal isolado produz certeza, mas informações que não combinam são motivo para não continuar.

O que verificar em um minuto

Se você está prestes a pagar, faça só isto:

Leia o endereço na barra do navegador, letra por letra. Leia o endereço, e não o nome escrito na página.
Procure o CNPJ no rodapé e confira o nome da empresa na consulta oficial da Receita Federal.
Pesquise o nome da loja no Google com a palavra reclamação, fora do site dela.
Confira quem receberá o pagamento. Compare o nome mostrado pelo banco ou pelo checkout com a empresa consultada.

Se algum dado não combinar, não pague ainda. Saia da página e procure o endereço oficial por conta própria antes de continuar.

Pessoa confere o endereço de um site antes de continuar a compra — Cena ilustrativa: o endereço completo do site ajuda a identificar imitações e domínios diferentes.

1. Leia o endereço letra por letra

O endereço completo merece atenção porque palavras conhecidas podem aparecer em partes que não identificam o responsável pelo domínio. A cartilha do CERT.br recomenda digitar o endereço conhecido e conferir cuidadosamente o domínio, em vez de depender do link recebido.

Use este endereço fictício reservado como exemplo: https://pagamento.loja-exemplo.example/pedido. O protocolo é “https://”, o nome completo do site é “pagamento.loja-exemplo.example”, o domínio registrável é “loja-exemplo.example” e o caminho é “/pedido”. A terminação “.example” é reservada para exemplos e não identifica um site real. Para conferir o responsável por um endereço recebido, compare o domínio registrável com o endereço oficial encontrado por você. O artigo como verificar se um link é seguro mostra outros truques, como o arroba no meio do endereço e as letras de outro alfabeto.

Letra trocada ou dobrada. Uma letra a mais, um “i” que virou “l”, um “m” que virou “rn”.
Palavra colada no fim. Algo como “lojaoficial”, “promo”, “brasil”, “shop” grudado no nome real.
Marca em subdomínio ou caminho. Uma palavra conhecida pode aparecer antes do domínio registrável ou depois do nome do site, no caminho, sem tornar o endereço oficial.
Final estranho. Terminações incomuns, ou um endereço gratuito com o nome da marca dentro.

Dois cuidados ajudam: não abra o site pelo link da mensagem e, na dúvida, digite o endereço você mesmo ou entre pelo aplicativo que já está instalado no seu aparelho.

2. Procure o CNPJ e confira na Receita

Procure o CNPJ no rodapé, nos termos de uso ou na política de privacidade. A ausência do número, um cadastro inválido ou dados que não combinam com a oferta pedem investigação. Nenhum desses sinais, sozinho, permite afirmar que a loja é falsa.

Por isso não basta ver que tem número. Copie o CNPJ e consulte na Receita Federal. Depois compare três coisas: a razão social bate com a loja, a situação está ativa, e a atividade tem a ver com o que está sendo vendido.

Não estranhe se o número tiver letras. Desde julho de 2026, a Receita Federal dá CNPJ com letras e números às empresas abertas a partir dessa data, e os números antigos continuam valendo. Para ir além do CNPJ, o guia como saber se uma empresa é confiável mostra o que mais consultar antes de pagar.

3. Veja a idade do site

Para endereços terminados em ponto br, o Whois do Registro.br permite consultar o domínio. Conforme a disponibilidade pública, o resultado pode mostrar data de criação e dados cadastrais.

Um domínio registrado há pouco tempo pede mais cuidado quando aparece junto de preço incomum, contato que não funciona ou recebedor diferente. Sozinha, a idade não prova nada: site novo pode ser legítimo, e site antigo pode ter sido invadido.

4. Desconfie do preço e da pressa

Um preço muito abaixo dos demais e um prazo curto pedem uma checagem adicional antes do pagamento.

Preço fora da faixa: compare com outras lojas sem usar apenas o valor do anúncio.
Prazo que termina em minutos: relógio, “últimas unidades” e ameaça de perder a oferta tentam impedir a checagem.
Desconto condicionado ao Pix: confirme empresa e recebedor antes de abrir mão de outras formas de pagamento.

5. Teste os canais de contato

Não basta existir um telefone na página. Procure o canal da empresa fora do link recebido e faça uma pergunta concreta sobre o pedido, a entrega ou a devolução. Um contato que não responde ou só repete mensagens prontas não prova fraude, mas deixa uma dúvida importante sem resposta.

Compare o telefone, o e-mail e o endereço com os dados encontrados no cadastro e nos canais oficiais. Uma empresa pode usar serviços de e-mail diferentes; o que importa é a coerência entre identidade, atendimento e oferta.

6. Procure a loja fora do site dela

O conteúdo do site, inclusive as avaliações exibidas nele, é uma fonte da própria loja. Consulte também fontes externas e compare as informações.

Pesquise o nome da loja no Google junto com a palavra reclamação.
Veja se existe reclamação registrada e, principalmente, se a empresa responde.
Confira as redes sociais: perfil recente, pouco histórico e comentários limitados são sinais para buscar mais informações, não provas de fraude.
Consulte o consumidor.gov.br, onde empresas cadastradas respondem publicamente.

Também é possível consultar o endereço no status do site no Google Safe Browsing. Um alerta conhecido é motivo para sair da página. A ausência de alerta não é selo de segurança, porque a classificação reflete o que o serviço conhece naquele momento.

7. Olhe a forma de pagamento

A forma de pagamento define o que dá para fazer se houver um problema. Pix e transferência não são cancelados automaticamente. No cartão, pode existir uma contestação junto ao banco ou à operadora, mas o resultado depende da análise, e nenhum meio de pagamento garante recuperação.

Antes de confirmar, compare o nome do recebedor com a empresa consultada. Se o pagamento sair do site para uma chave, conta ou link enviado por mensagem, pare e confirme a cobrança pelo canal oficial encontrado por você.

O cadeado não prova nada

O HTTPS protege a conexão entre o navegador e o site, mas não prova que a loja seja honesta. A orientação do Google Chrome sobre conexão segura também manda conferir o nome do site antes de informar dados. Trate o HTTPS como requisito técnico, não como selo comercial.

No Chrome, o cadeado nem aparece mais: desde a versão 117, de setembro de 2023, a barra de endereço mostra um ícone de ajustes no lugar dele. A equipe do Chromium explicou que muita gente lia o cadeado como sinal de site confiável, quando quase todo site de phishing, o site falso feito para roubar dados, também usa HTTPS.

Como saber se um site é seguro para comprar

Não existe um selo único que diga se um site é seguro para comprar. O que funciona é juntar os sinais acima e completar com duas consultas feitas fora do site da loja.

Reclame Aqui: mostra reclamações de consumidores e se a empresa responde. Muitas queixas sem resposta pedem cuidado. Uma página sem reclamações não prova nada, porque um site falso criado há poucos dias ainda não tem histórico, e um site que imita uma loja famosa se aproveita da boa fama dela.
Lista Evite esses sites, do Procon-SP: reúne lojas online que tiveram reclamações registradas no órgão, foram notificadas e não responderam ou não foram encontradas. Estar na lista é um alerta forte. Não estar nela não aprova o site, porque só entram lojas que já receberam reclamações no Procon de São Paulo e passaram por esse processo.

Essas consultas mostram o histórico de uma empresa, não dão veredito sobre ela. Use o resultado junto com o endereço, o CNPJ e o nome de quem recebe o pagamento.

Um exemplo: a promoção do tênis

Um exemplo

Lúcia vê um anúncio de um tênis de corrida por menos da metade do preço, com mais 10% de desconto no Pix e um relógio dizendo que a oferta acaba em 15 minutos. O site tem as fotos e o rodapé da loja que ela conhece. Antes de pagar, ela faz a checagem de um minuto.

O endereço. Na barra do navegador está tenisexemplo-outlet.example, e a loja que ela conhece fica em tenisexemplo.example. A palavra “outlet” colada no nome já é motivo para parar.
O CNPJ. O rodapé mostra um número, mas na consulta da Receita ele pertence a uma empresa de outro ramo, com outro nome.
Fora do site. Pesquisando o nome com a palavra reclamação, ela encontra relatos recentes de quem pagou e não recebeu.
O recebedor. Na tela de confirmação do Pix, o dinheiro iria para uma pessoa física, e não para a loja.

Nenhum desses sinais, sozinho, provaria o golpe. Juntos, mostram que a página não é da loja que Lúcia conhece. Ela fecha o anúncio, digita o endereço da loja verdadeira e vê que por lá o tênis custa o preço normal.

Se você já pagou

Entre em contato com o banco assim que perceber o problema. O culpado é quem montou o site falso, não você.

Pagou no cartão? Peça contestação ao banco ou à operadora, pelo aplicativo oficial ou pelo telefone atrás do cartão.
Pagou por Pix? Abra o comprovante no aplicativo do banco e use a opção de contestar. Ela aciona o MED, o mecanismo do Banco Central para devolver Pix feito em golpe, que pode devolver o que ainda estiver na conta de quem recebeu ou nas contas para onde o dinheiro foi transferido. Se não achar a opção, ligue para o banco. O passo a passo está em golpe do Pix: o que fazer se o pagamento já foi feito.
Pagou por transferência? Avise o banco imediatamente e pergunte quais medidas se aplicam ao seu caso.
Guarde tudo. Endereço do site, comprovante, conversas e a página do produto.
Registre ocorrência e, se a loja estiver cadastrada, abra reclamação no consumidor.gov.br.

Aconteceu agora

O passo a passo completo está em já enviei dinheiro, ainda dá tempo de bloquear?. Em risco físico imediato, no Brasil, ligue 190.

Perguntas frequentes

Como saber se um site é confiável em poucos segundos?

Confira o domínio registrável, procure o canal oficial por conta própria, consulte a empresa e compare o nome de quem receberá o pagamento. Se os dados não combinarem, não continue até entender a diferença.

O cadeado no navegador quer dizer que o site é seguro?

Não. O HTTPS protege a conexão entre o navegador e a página, mas não prova que a loja seja honesta. No Chrome, o cadeado deu lugar a um ícone de ajustes desde a versão 117. Confira também o domínio, a empresa, o canal oficial, a oferta e o recebedor do pagamento.

CNPJ ativo garante que a loja é de verdade?

O CNPJ ativo confirma que o cadastro existe. Não garante que o site pertença à empresa consultada nem que a oferta seja honesta. Compare razão social, atividade, endereço, contato e recebedor. Um CNPJ com letras é normal em empresas abertas desde julho de 2026.

Comprei e o site sumiu. Dá para recuperar?

Avise o banco imediatamente pelo canal oficial e explique o que aconteceu. No cartão, peça a contestação da compra. No Pix, abra o comprovante no aplicativo e use a opção de contestar, que aciona o mecanismo de devolução do Banco Central. Guarde comprovante, endereço e conversas. Não existe garantia de recuperação.

Anúncio de rede social é mais arriscado?

Um anúncio não prova que a loja seja legítima ou falsa. Se a oferta interessar, saia do anúncio, procure o endereço oficial por conta própria e compare empresa, oferta e pagamento antes de continuar.