Um website com aspeto limpo e profissional pode ser completamente inseguro. Saber como verificar se um website é seguro antes de introduzir qualquer informação não é complicado, mas exige saber onde olhar, porque os sinais óbvios nem sempre são os que importam.
Os sinais que dizem se um site é seguro são visíveis no navegador e na própria página. Este artigo explica o que verificar, o que significa cada sinal e o que fazer quando algo não parece certo.
As mesmas verificações aplicam-se quer sejas um visitante a tentar decidir se confias num site, quer sejas o dono de um site a tentar perceber o que os visitantes veem quando chegam ao teu. Os sites seguros e os inseguros deixam as mesmas pegadas. Saber o que procurar tira o palpite da equação. Para perceberes porque é que a segurança de um website importa em todos os sites, e não só nos grandes, lê o artigo sobre porque é que a segurança do website é importante.
Como verificar se um website é seguro
Olha primeiro para a barra de endereços
A barra de endereços do navegador é o sítio mais rápido para começar. Duas coisas dizem-te muito antes de leres uma única palavra da página.
- O endereço deve começar por HTTPS, não por HTTP. O S significa Secure (seguro). Quer dizer que a ligação entre o teu navegador e o site está cifrada, por isso qualquer informação que envies é baralhada antes de viajar. Um site com um endereço que começa por HTTP simples não tem um certificado de segurança, e tudo o que enviares através de um formulário sai sem proteção
- Um ícone de cadeado aparece junto ao endereço nos sites com um certificado de segurança válido instalado. Sem cadeado, não há certificado, o que significa que não há ligação cifrada. Clicar no cadeado mostra os detalhes do certificado, incluindo quem o emitiu e quando expira
O HTTPS e o cadeado são o mínimo. Um site sem eles falha logo na primeira verificação. Para uma explicação completa do que é um certificado de segurança e do que faz, lê o artigo sobre o que é um certificado de segurança de website e porque o teu site precisa de um.
Lê o URL com atenção
O cadeado do HTTPS só te diz que a ligação está cifrada. Não te diz que o site é de confiança. Um site de burla pode ter um certificado de segurança válido tão facilmente como um site verdadeiro. É por isso que ler o nome de domínio real é importante.
- Olha para o nome de domínio completo na barra de endereços, não só para o título da página. Um site feito para parecer um banco ou um serviço conhecido usa muitas vezes um domínio que, à primeira vista, parece semelhante mas é ligeiramente diferente. Carateres a mais, hífenes ou terminações invulgares merecem atenção
- Confirma que o domínio corresponde ao site que querias visitar. Se clicaste numa ligação num email ou noutro site, confirma que o endereço na barra corresponde ao sítio para onde querias ir
- Sequências longas e desconhecidas de carateres no endereço, ou domínios que não reconheces desde o início do URL, merecem desconfiança
Vê o que o navegador te está a dizer
Os navegadores assinalam diretamente os sites inseguros. Vale a pena levar estes avisos a sério.
- Uma etiqueta "Não seguro" na barra de endereços aparece nos sites servidos sem HTTPS. Alguns navegadores mostram-na em todas as páginas HTTP. Outros só a assinalam nas páginas com formulários ou campos de início de sessão, onde introduzir informação seria o risco mais claro
- Um aviso em página inteira, muitas vezes vermelho ou laranja, com texto como "A tua ligação não é privada" ou "Este site pode ser inseguro", aparece quando o navegador deteta um problema mais grave. Pode significar que o certificado de segurança expirou, que o certificado não corresponde ao domínio ou que o site foi assinalado por conteúdo prejudicial. Estes avisos existem para te impedir de continuar, e vale a pena ouvi-los
- Se aparecer um aviso em página inteira, não continues, a menos que tenhas um motivo concreto para confiar no site e perceberes o que o aviso significa
Olha para o próprio site
Quando estás na página, algumas coisas dizem-te mais sobre se o site é o que parece ser.
- Uma página de contacto funcional, com uma morada, um telefone ou um email reais, é um sinal positivo. Os sites criados só para recolher informação costumam saltar estes dados ou usar texto genérico de substituição
- Páginas de política de privacidade e de termos de serviço que têm mesmo conteúdo, e não apenas um título sem nada por baixo, sugerem um site feito para funcionar como deve ser
- Erros de ortografia, imagens quebradas ou problemas de layout que parecem inacabados podem ser sinais de um site feito à pressa. Não garantem que algo está errado, mas, combinados com outros sinais, somam-se
- Pedidos de informação que parecem deslocados, como um site a pedir um número de segurança social ou dados bancários sem motivo óbvio, devem ser tratados como sinal de alerta, por muito bom que o resto do site pareça
Como usar um verificador de segurança de websites
Um verificador de segurança de websites é uma ferramenta que consulta um URL em listas conhecidas de sites prejudiciais ou denunciados e devolve uma avaliação de segurança. Estas ferramentas são úteis para uma segunda opinião rápida, sobretudo em sites que nunca visitaste.
O que os verificadores de segurança analisam
- Listas conhecidas de sites prejudiciais mantidas pelos fabricantes de navegadores e por organizações de segurança. Os sites confirmados como páginas de phishing, distribuidores de malware ou operações de burla aparecem nestas listas e são assinalados de imediato
- A idade e a reputação do domínio. Os domínios registados há pouco tempo que já foram denunciados por problemas, ou domínios que mostram padrões associados a atividade prejudicial, podem ser assinalados mesmo que ainda não tenham sido adicionados a uma lista específica
- Se o site tem um certificado de segurança válido e se o HTTPS está bem configurado
- Se algum visitante anterior denunciou o site
O que os verificadores de segurança não conseguem dizer
Um resultado limpo num verificador de segurança de websites não garante que o site é de confiança. Significa que o site não foi denunciado nem assinalado nas listas que a ferramenta consulta.
- Um site de burla novo em folha passa numa verificação de segurança se ainda não foi denunciado. Os sites prejudiciais ficam muitas vezes à frente das listas durante dias ou semanas antes de serem adicionados
- Os verificadores de segurança não avaliam a qualidade nem a honestidade do conteúdo do site. Um site pode passar em todas as verificações automáticas e ainda assim ser concebido para enganar os visitantes
- Usa um verificador de segurança como mais um elemento a par das outras verificações, não como o único
O que torna um website realmente seguro de usar
O HTTPS é o ponto de partida, não a meta
Um site com HTTPS e um cadeado válido cumpriu os requisitos técnicos básicos de uma ligação segura. Vale a pena confirmá-lo, mas é o início da verificação, não o fim.
O HTTPS protege os dados que viajam entre o navegador e o servidor. Não diz nada sobre o que o site faz com esses dados depois de chegarem. Um site pode ter um certificado válido e, ainda assim, recolher informação para fins com os quais o visitante não concordaria se soubesse deles. Para uma explicação completa de como funciona o HTTPS e do que realmente protege, lê o artigo sobre o que é o HTTPS e como protege o teu website.
Sinais de confiança na página
Para além das verificações técnicas, os sites feitos para funcionar como deve ser costumam mostrá-lo na forma como tratam as coisas básicas.
- Informação clara sobre quem gere o site e como o contactar
- Políticas que explicam que dados são recolhidos e como são usados
- Um processo de pagamento, se existir, que usa um meio de pagamento reconhecido e mostra o que estás a pagar antes de confirmares a transação
- Sem táticas de pressão: temporizadores, avisos de que a tua conta será bloqueada se não agires já ou alertas de que o teu dispositivo foi infetado são ferramentas comuns para levar os visitantes a decidir à pressa, sem pensar
O que os certificados SSL provam e não provam
Um certificado SSL básico, o que dá a um site o cadeado e o HTTPS, prova uma só coisa: que quem o instalou controla o domínio. Não verifica que a empresa por trás do site é legítima, que o site foi revisto de forma independente ou que as pessoas que o gerem são quem dizem ser.
Os certificados de nível superior vão mais longe. Um certificado com validação da organização ou com validação alargada exige que a autoridade de certificação verifique a identidade legal da empresa. Os sites que usam estes certificados foram verificados para lá da simples propriedade do domínio. Na maioria dos websites do dia a dia, este nível de verificação não é exigido, mas, em plataformas financeiras ou governamentais, vale a pena conhecer a diferença. Para o detalhe completo dos tipos de certificado e do que cada um prova, lê o artigo sobre o que é um certificado SSL e como funciona.
O que fazer quando um website não parece seguro
- Não introduzas informação pessoal, dados de início de sessão nem dados de pagamento num site de que não tenhas a certeza. A informação não pode ser recuperada depois de enviada
- Fecha o separador e vai diretamente ao site que querias visitar, escrevendo tu o endereço, em vez de seguires uma ligação que te pode ter enviado para um sítio inesperado
- Se já enviaste informação num site que se revelou inseguro, muda de imediato a palavra-passe ligada a esse endereço de email. Se estiveram envolvidos dados de pagamento, contacta o teu banco
- Denuncia o site se o navegador ou a ferramenta de segurança te der essa opção. Isto ajuda a que o site seja adicionado mais depressa às listas de aviso, o que protege outros visitantes
- Se geres o teu próprio site e queres perceber o que os teus visitantes veem quando verificam a tua segurança, confirma se o HTTPS está ativo, se o certificado é válido e não expirou e se há algo na página que possa parecer um sinal de alerta a quem ainda não conhece o site
Como a WEMASY trata dos sinais de segurança do site
Todos os sites criados na WEMASY funcionam em HTTPS por defeito. Os certificados SSL estão incluídos em todos os planos e são aplicados automaticamente quando um site ou um domínio personalizado é ligado. Não é preciso configurar nada nem gerir renovações. Os visitantes que olharem para a barra de endereços veem o HTTPS e o cadeado desde o primeiro dia.
Os redirecionamentos de HTTP para HTTPS estão ativos ao nível da plataforma, por isso os visitantes chegam sempre à versão segura do site, seja qual for o caminho por onde chegam. Os avisos de conteúdo misto, que aparecem quando uma página carrega por HTTPS mas alguns elementos não, não são uma preocupação, porque todos os recursos servidos pela plataforma usam HTTPS em todo o lado.
Vê o que está incluído no criador de websites da WEMASY ou consulta as opções de planos na página de preços.
Perguntas frequentes
Como sei se um website é seguro?
Começa pela barra de endereços do navegador. O endereço deve começar por HTTPS e deve estar visível um ícone de cadeado. Sem cadeado, não há certificado de segurança nem ligação cifrada. Lê com atenção o nome de domínio real, para confirmar que corresponde ao sítio para onde querias ir. Se o navegador mostrar um aviso, leva-o a sério. Na própria página, procura informação de contacto funcional, uma política de privacidade verdadeira e a ausência de pedidos de informação que pareçam deslocados para o tipo de site. Com o criador de websites da WEMASY, podes configurar isto diretamente no teu website.
HTTPS quer dizer que um website é seguro?
HTTPS quer dizer que a ligação entre o teu navegador e o site está cifrada, por isso a informação que envias é baralhada antes de viajar. Não quer dizer que o site seja de confiança nem que as pessoas que o gerem sejam quem dizem ser. Um site de burla pode ter um certificado HTTPS válido, tal como um site verdadeiro. O HTTPS é um ponto de partida necessário, não uma garantia de segurança por si só. Verifica o nome de domínio, olha para o conteúdo do site e usa um verificador de segurança de websites se tiveres dúvidas.
O que é um verificador de segurança de websites?
Um verificador de segurança de websites é uma ferramenta que consulta um URL em bases de dados de sites prejudiciais ou denunciados. Devolve um resultado que mostra se o site foi assinalado por phishing, malware, burlas ou outros problemas. Um resultado limpo significa que o site não foi denunciado nas listas que a ferramenta consulta, mas não garante que o site seja seguro. Surgem regularmente novos sites prejudiciais, que demoram a aparecer nas listas de aviso. Usa um verificador de segurança a par das outras verificações, não em vez delas.
O que significa o cadeado no navegador?
O cadeado significa que o site tem um certificado de segurança válido instalado e que a ligação entre o teu navegador e o site está cifrada. Qualquer informação que envies através de um formulário é baralhada antes de viajar, por isso não pode ser lida se for intercetada. Clicar no cadeado mostra os detalhes do certificado, incluindo quem o emitiu e quando expira. Sem cadeado, não há certificado nem cifragem. Um certificado expirado faz o cadeado desaparecer e pode provocar um aviso do navegador.
O que devo fazer se enviei informação por engano num site inseguro?
Muda de imediato a palavra-passe ligada a essa conta ou a esse endereço de email, antes de mais nada. Se foram introduzidos dados de pagamento, contacta o teu banco e explica o que aconteceu: podem assinalar o cartão e aconselhar-te sobre os passos seguintes. Verifica se usas a mesma palavra-passe noutras contas e, se sim, muda-as também. Denuncia o site se o navegador ou a ferramenta de segurança te der essa opção. Vigia, nas semanas seguintes, qualquer atividade invulgar nas contas ligadas à informação que enviaste.
Um site com HTTPS ainda pode ser uma burla?
Sim. Obter um certificado de segurança básico é gratuito e demora minutos. Qualquer pessoa pode adicionar HTTPS a um site, incluindo quem gere operações de burla. O cadeado significa que a ligação está cifrada. Não significa que o site foi verificado como legítimo, que a empresa por trás dele é real ou que a tua informação será tratada com responsabilidade. O HTTPS elimina um risco específico, mas não elimina todos. Verifica sempre o nome de domínio, lê a página com atenção e usa um verificador de segurança de websites se algo te parecer estranho.