Como identificar sites de compras falsos: checklist de CNPJ, HTTPS, reputação no Reclame Aqui e políticas de devolução
Se você já sentiu um frio na barriga ao receber um “aviso urgente” no e-mail, não está sozinho. Golpes ficaram mais sofisticados e, hoje, imitam com precisão bancos, lojas e até colegas de trabalho. Este guia mostra como verificar se um e-mail é autêntico conferindo domínio, cabeçalhos, SPF, DKIM, DMARC e links antes de clicar. A promessa é simples: transformar aquela dúvida de segundos em um ritual rápido e preciso, reduzindo riscos e ganhando confiança para agir com segurança.
Antes de abrir anexos ou sair clicando, comece pelo que salta aos olhos. Pense como um check-list de carro: se o pneu está murcho, não adianta discutir o tipo de combustível.
Dica de ouro: se a mensagem pede “confirme sua senha” ou “atualize dados” via link, trate como suspeita por padrão. Empresas sérias preferem que você acesse diretamente o site ou aplicativo oficial.
Confirmar o domínio do remetente é como olhar a placa do carro: não diz tudo, mas separa rápido o que é legítimo do que é clone.
Para marcas conhecidas, verifique se o domínio é exatamente o mesmo que aparece no site oficial. Exemplo: comunicações do seu banco tendem a vir do próprio domínio institucional, não de variantes como @suporte-banco-seguro.com.
Isso não prova autenticidade por si só, mas domínios novos, sem MX ou sem TXT de autenticação costumam indicar risco elevado.
O cabeçalho do e-mail é o “raio-X” da mensagem. Ele mostra por onde ela passou, quem assinou tecnicamente o envio e se a origem bate com o que você vê na caixa de entrada.
Imagine um envelope com carimbo do correio, assinatura no verso e instruções do remetente sobre o que fazer se algo der errado. É assim que SPF, DKIM e DMARC funcionam em conjunto: três camadas para confirmar se um domínio realmente autorizou aquele envio.
SPF (Sender Policy Framework) é um registro no DNS que lista quais servidores podem enviar e-mails em nome do domínio. No cabeçalho, procure algo como “spf=pass” em Authentication-Results. Se aparecer “fail” ou “softfail”, a origem pode não ser reconhecida pelo domínio.
DKIM (DomainKeys Identified Mail) assina partes do e-mail com uma chave privada do domínio. O servidor destino usa a chave pública no DNS para checar se a mensagem foi alterada. Busque “dkim=pass”.
DMARC (Domain-based Message Authentication, Reporting and Conformance) diz o que fazer quando SPF e/ou DKIM falham e exige alinhamento entre o domínio visível em From e o domínio validado por SPF/DKIM. Procure “dmarc=pass” e observe alignment.
Atalho prático: se SPF, DKIM e DMARC passam e os domínios estão alinhados, a chance de fraude cai muito. Ainda assim, não clique em links sem conferir o destino e o contexto da mensagem.
Link é a “porta de entrada” do golpe. Um e-mail pode até parecer perfeito, mas o endereço entrega a farsa.
Se a mensagem pede login, não use o link do e-mail. Abra manualmente o site ou o aplicativo oficial e verifique se há alertas lá dentro. Esse hábito elimina boa parte dos golpes bem produzidos.
Mesmo com todos os cuidados, há casos limites. Servidores comprometidos podem enviar mensagens com SPF, DKIM e DMARC válidos. Ataques de engenharia social também exploram informações reais, como nomes de colegas e projetos, colhidas em redes sociais e vazamentos de dados. Por isso, o contexto é peça-chave: pedidos fora do padrão, mudança súbita de conta bancária para pagamento ou urgência fora do expediente são alertas tão importantes quanto os sinais técnicos.
Resumo de bolso: verifique o domínio, leia o cabeçalho, confirme SPF/DKIM/DMARC e só então avalie links. Se algo travar sua intuição, pare. O tempo que você ganha hoje evita prejuízo amanhã.
Não. Eles reduzem muito o risco e validam a origem, mas não impedem fraudes a partir de contas ou serviços comprometidos. Sempre avalie o contexto e os links.
Abra a mensagem, clique nos três pontos ao lado de “Responder” e selecione “Mostrar original”. Lá estarão os resultados de SPF, DKIM e DMARC, além dos Received.
É quando o domínio no campo From corresponde (exato ou relaxado, conforme política) ao domínio validado por SPF ou DKIM. Sem alinhamento, a mensagem tende a falhar nas políticas rígidas de DMARC.
Pré-visualize o URL e procure caracteres estranhos, acentuação fora do lugar ou letras que parecem outras. Em caso de dúvida, copie o endereço em um editor de texto que mostre a codificação ou acesse manualmente o site oficial.
Não abra direto. Confirme com a empresa pelo canal oficial e tente visualizar o conteúdo no leitor seguro do provedor. Preferencialmente, baixe apenas após validação do remetente e verificação dos cabeçalhos.
Agora é a sua vez: aplique estas verificações no próximo e-mail suspeito, compartilhe suas dúvidas nos comentários e explore outros guias práticos em novidadedanet.com para reforçar sua segurança digital no dia a dia.
