Como saber se um site é confiável para comprar

WindowsMaciPhoneAndroidAtualizado 2026-10-24

O cadeado na barra de endereço não prova que uma loja é de verdade. A Comissão Federal de Comércio dos Estados Unidos (FTC) diz que o "s" do https indica que o site é criptografado, mas não que ele é legítimo. As verificações úteis são sobre a empresa por trás do site e sobre a forma de pagamento.

Resposta rápida

Confira se a loja mostra CNPJ ou CPF e endereço físico, como exige o decreto do comércio eletrônico, consulte a lista do Procon-SP de sites a evitar, procure reclamações e leia avaliações de outros compradores. Não trate o cadeado como prova. Na hora de pagar, siga a Cartilha do CERT.br: cartão virtual, e dados conferidos antes de um Pix ou de um boleto.

Como saber se uma loja online é confiável?

Pesquise a empresa, não só o site. A Cartilha de Segurança para Internet do CERT.br diz que é comum golpistas criarem páginas e anúncios falsos para atrair compradores, que vendem e não entregam a mercadoria. Antes de comprar, ela sugere:

Consultar o Procon. O CERT.br orienta ver no Procon as empresas verificadas e as que devem ser evitadas. O Procon-SP mantém a lista "Evite esses Sites", com sites que tiveram reclamações de consumidores registradas no Procon-SP, foram notificados, não responderam ou não foram encontrados.
Procurar reclamações. O CERT.br sugere buscar reclamações em redes sociais e sites especializados. O Consumidor.gov.br, serviço público do governo, também mostra os relatos de consumidores e as respostas das empresas participantes, com busca por empresa.
Ler avaliações de outros compradores. Num marketplace, o CERT.br pede para identificar o vendedor do produto, ver a pontuação dele na plataforma e ler as avaliações sobre qualidade, prazo de entrega e atendimento em trocas e devoluções.
Entrar pelo endereço certo. O CERT.br orienta digitar o endereço direto no navegador e, se usar um buscador, confirmar se a URL é a correta.

O que a loja é obrigada a mostrar?

O Decreto nº 7.962, de 2013, que regula o comércio eletrônico, diz que os sites que vendem ao consumidor devem mostrar, em local de destaque e fácil de ver, o nome empresarial e o CNPJ ou CPF do fornecedor, quando houver, e o endereço físico e eletrônico. Também devem informar as características do produto, as despesas extras no preço, como a entrega, e as condições da oferta, incluindo as formas de pagamento e o prazo de entrega.

Se essas informações não aparecem, é um bom motivo para desconfiar. O CERT.br também pede que você confira, na hora da compra, a política de troca e devolução, o valor do frete e a forma de pagamento, e que tire dúvidas com o vendedor pelos canais oficiais.

Um site com cadeado é seguro?

Não só por isso. O CERT.br orienta usar sempre conexão segura (https), mas o cadeado e o https só mostram que a conexão é criptografada. A FTC diz que isso não mostra que o vendedor é legítimo.

Trate links recebidos em mensagens com o mesmo cuidado. O CERT.br diz que alertas de compra no cartão, pedidos de confirmação de compra e anúncios muito vantajosos são usados como isca para você clicar em links maliciosos ou ligar para números falsos. A orientação é não clicar no link nem ligar para o número da mensagem, e procurar a empresa pelos canais oficiais. Ele também pede atenção a links e publicações patrocinadas, que golpistas podem usar para levar a anúncios falsos, e sugere ir direto ao site ou ao app.

Qual é a forma mais segura de pagar online?

A Cartilha do CERT.br traz cuidados para cada forma de pagamento:

Cartão. Se for gravar os dados do cartão num site ou app, use um cartão virtual, que tem dados diferentes do cartão físico. Reduza o limite dele, se possível, e ative as notificações de uso.
Pix. Confira os dados do destinatário antes de transferir. O CERT.br diz que chaves falsas podem ser usadas para induzir transações fraudulentas.
Boleto. Antes de pagar, confira se o nome e o CNPJ do beneficiário são os do vendedor, se os primeiros dígitos do código correspondem ao banco emissor e se os últimos correspondem ao valor.

O CERT.br também pede que você faça toda a compra dentro da plataforma, porque fora dela você perde os recursos de segurança que ela oferece, e que desconfie de pedidos de pagamento ou negociação por outros canais.

Sobre devolução, o Código de Defesa do Consumidor diz no artigo 49 que, numa compra feita fora do estabelecimento comercial, você pode desistir em até 7 dias a contar da assinatura ou do recebimento, e os valores pagos nesse prazo devem ser devolvidos de imediato, monetariamente atualizados. O Decreto nº 7.962 acrescenta que, quando você exerce esse direito, a loja deve avisar imediatamente a instituição financeira ou a administradora do cartão para que a compra não seja lançada na fatura ou, se já foi, para que o valor seja estornado.

O que uma vulnerabilidade numa loja significa para mim?

Uma vulnerabilidade é uma falha num software, não uma prova de que algo foi levado. Em 21 de outubro de 2026, o projeto PHP corrigiu duas falhas críticas no PHP, a linguagem em que rodam muitos sites. O alerta 93/2026 do CTIR Gov diz que elas podem permitir a execução remota de código por um atacante não autenticado e recomenda aplicar as correções imediatamente. Em 23 de outubro de 2026, o alerta da agência americana CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação.

A correção é tarefa da loja, e você não consegue ver de fora: o manual do PHP diz que um servidor pode ser configurado de modo que não haja como os usuários saberem que o PHP está sendo usado. Se uma loja que você usa for afetada e dados forem levados, o guia meus dados pessoais estão em risco? explica como você ficaria sabendo e o que fazer.

E se eu já paguei uma loja falsa?

Aja logo. O fascículo do CERT.br sobre o que fazer depois de um golpe orienta:

Pix. Conteste a transferência pelo app ou pelos canais oficiais do banco para acionar o MED, o Mecanismo Especial de Devolução. O CERT.br cita a compra em site falso entre os casos em que ele pode ser acionado, e diz que quanto antes você contestar, maior a chance de reaver o valor.
Cartão de crédito. Conteste a compra pelo app ou pelos canais oficiais do banco emissor, e procure outras compras que você não reconhece, inclusive em faturas anteriores. Se passou os dados do cartão ao golpista, peça o bloqueio ou o cancelamento.
Guarde as evidências, como links, capturas de tela, comprovantes, datas e números de protocolo.
Registre um boletim de ocorrência, que na maioria dos casos pode ser feito online.

Se não resolver, o CERT.br sugere avaliar uma reclamação no Banco Central, procurar o Procon do seu estado ou consultar um advogado. O Consumidor.gov.br permite reclamar direto com as empresas participantes, que se comprometem a responder em até 10 dias, e diz que não substitui os Procons e os outros órgãos de defesa do consumidor.

Mais perguntas

Como saber se o perfil da loja nas redes sociais é o oficial?

O CERT.br sugere procurar o selo de conta comercial verificada, quando existir, ver se o link da descrição leva à loja oficial e buscar o perfil no site da empresa. Ele pede para desconfiar se o perfil cobrar taxas adicionais ou pedir senhas ou dados de cartão.

Avaliações boas fazem uma loja falsa parecer real?

Podem. A FTC diz que algumas avaliações e notas são falsas ou enganosas, então não confie só nas estrelas. O CERT.br sugere ler avaliações de outros compradores e procurar reclamações em redes sociais e sites especializados.

Preço muito baixo é sinal de golpe?

Pode ser. O CERT.br diz que golpistas criam anúncios a preços muito baixos para atrair compradores, e sugere pesquisar preços em vários sites antes de comprar.

Visitar um site de loja suspeito pode infectar o meu aparelho?

As falhas do PHP estão nos servidores, não no seu aparelho. Um site invadido ainda pode mostrar páginas falsas ou empurrar downloads, como explica o guia visitar um site hackeado é perigoso?. O guia sobre a vulnerabilidade do PHP explica as falhas.