“Só compre em site com cadeado.” A dica é repetida há anos, e está incompleta o bastante para atrapalhar. Hoje, muitos sites de golpe exibem o cadeado normalmente. Ele ainda importa, mas diz outra coisa do que muita gente imagina. Veja o que ele garante, o que não garante e como decidir com mais critério.
O que o cadeado de fato garante
O cadeado, ou o ícone equivalente do seu navegador, indica que o site usa HTTPS, uma conexão criptografada. Na prática, isso garante duas coisas:
- O que você envia e recebe viaja embaralhado. Quem estiver no meio do caminho, como em um Wi-Fi aberto, não consegue ler senhas e cartões digitados.
- O certificado foi emitido para aquele endereço. O navegador confirma que está falando com o domínio que aparece na barra, e não com um intermediário.
É uma proteção importante e necessária. O texto o que é certificado SSL e por que seu site precisa de HTTPS explica o funcionamento por dentro. Mas ela se limita ao transporte dos dados.
O que o cadeado não garante
O cadeado não diz:
- Quem é o dono do site. Um certificado comum comprova controle sobre o domínio, e não a identidade ou a idoneidade da empresa.
- Se a loja entrega o que vende. Uma loja falsa pode ter uma conexão perfeita para receber o seu pagamento.
- Se a página é a verdadeira. Um site que imita um banco ou uma loja pode ter cadeado, no endereço dele.
- Se o site é seguro contra golpes. Ele não impede ofertas falsas nem pedidos de dados indevidos.
Isso acontece porque certificados básicos podem ser obtidos de forma automática, rápida e, em muitos casos, gratuita, por qualquer pessoa que registre um domínio. Por isso, criminosos os usam tanto quanto empresas sérias. O cadeado se tornou padrão, e padrão não distingue bom de mau.
Como um site de golpe consegue o cadeado
O caminho é curto e barato. O criminoso registra um domínio, aponta-o para um servidor e pede um certificado a um serviço automatizado, que confirma apenas que ele controla aquele endereço. Em minutos, a página mostra o cadeado. Nenhuma checagem sobre quem é a pessoa, o que ela vende ou se tem intenção de enganar é feita nesse processo.
Considere dois endereços:
- www.lojaexemplo.com.br é o endereço de uma loja.
- www.lojaexemplo.com.br.promocao-hoje.top parece o primeiro no começo, mas o domínio real, lido a partir do fim, é promocao-hoje.top.
Os dois podem ter cadeado. O que diferencia um do outro é o endereço, não o ícone. O mesmo vale para endereços com letras trocadas, como “lojaexemp1o”, com o número 1 no lugar da letra l.
O que mudou nos navegadores
Navegadores vêm mudando o modo como mostram a segurança da conexão. Em alguns, o cadeado foi substituído por um ícone neutro, e sites sem HTTPS recebem o aviso de “não seguro”. O sentido continua o mesmo: o aviso de “não seguro” alerta contra páginas sem criptografia, mas a ausência do aviso não significa que o site é bom.
O que olhar além do cadeado
Use o cadeado como o primeiro filtro e continue a conferência:
- Leia o endereço com calma. O que vale é o trecho antes da primeira barra depois de “https://”, lido da direita para a esquerda. Em endereços como www.nomedaloja.com.br.ofertas-hoje.top, o domínio verdadeiro é o último trecho, ofertas-hoje.top, e não o que vem no começo.
- Procure letras trocadas. Nomes parecidos com o de uma marca, com um “rn” no lugar de “m”, um zero no lugar de “o” ou palavras extras, são comuns.
- Veja a idade do site. Domínio criado há poucos dias com ofertas enormes pede muita cautela.
- Confira CNPJ, endereço e canais de contato e se o nome da empresa bate com o do recebedor do pagamento.
- Veja a reputação fora do site, em buscas e em canais de reclamação.
- Observe a forma de pagamento. Pix para pessoa física e preço muito abaixo do mercado são sinais de alerta. Cartão virtual dá mais margem para contestação.
- Desconfie de pedidos extras, como código recebido por SMS, senha de e-mail ou instalação de programa.
O roteiro completo de verificação está em como saber se um site é confiável antes de comprar.
Para ter uma segunda leitura do endereço, o Isso é golpe? abre a página no servidor, sem executar nada, e devolve uma nota de risco de 0 a 10 com os motivos. Entre os sinais objetivos estão o formato do endereço, a imitação de marcas e a idade do domínio, além do que a página pede. A nota é uma estimativa e não um certificado de segurança, e um endereço com nota baixa também não está livre de problemas. A ferramenta é opcional, com versão gratuita.
Quando o cadeado importa de verdade
O cadeado continua sendo condição mínima:
- Nunca digite senha, cartão ou dados pessoais em página sem HTTPS.
- Em Wi-Fi público, a criptografia faz diferença. O texto Wi-Fi público é seguro? mostra outros cuidados.
- Aviso de certificado inválido ou de “conexão não é particular” indica problema real: não prossiga.
Pense assim: o cadeado responde à pergunta “a conexão é privada?”, e não à pergunta “a loja é honesta?”. Quando o que está em jogo é confiar seu dinheiro a alguém, as respostas vêm do endereço, da idade do site, do CNPJ, da reputação e da forma de pagamento.
Ele só falha quando é tratado como atestado de honestidade. Para decidir, vale a regra: cadeado é o começo da conferência, não o fim. Pare no endereço, olhe a idade do site, confira quem recebe o dinheiro e só depois digite o que for sensível.