Como verificar se um link é seguro antes de clicar

Domínio verdadeiro, link encurtado, cadeado que não prova nada e verificadores públicos: o passo a passo para checar um link antes do clique.

Por Redação Eleven Host · @robson.direitodigital · 20 de outubro de 2026 · 8 min de leitura

Para saber como verificar se um link é seguro, leia o endereço inteiro, confira o domínio de verdade e abra o site pelo endereço ou app oficial. Em outubro de 2026, essa checagem ajuda a evitar o prejuízo antes do clique.

Este guia trata só do antes do clique. Se você já clicou, o caminho é outro: troque senhas por um aparelho confiável, avise o banco pelo canal oficial e registre a ocorrência. Aqui o foco é não chegar a esse ponto.

Passo 1: leia o endereço inteiro, da direita para a esquerda

O endereço de um site tem partes, e só uma delas diz quem é o dono. Em https://exemplo.com/entrar, o nome do site é exemplo.com. O que vem antes do domínio, separado por pontos, é subdomínio, e qualquer pessoa que registre um domínio pode criar subdomínios com o nome que quiser.

O truque é olhar o trecho que fica logo antes da primeira barra e ler de trás para frente. Veja um exemplo fictício:

• https://exemplo.com.pagamento.exemplo-seguro.com.br/entrar: o domínio verdadeiro é exemplo-seguro.com.br. O começo parece exemplo.com, mas é só enfeite.
• https://exemplo.com/entrar: o domínio é exemplo.com.

Se o nome que você esperava aparece no começo e não no fim do trecho, desconfie.

Letras trocadas e caracteres parecidos

Quem aplica golpe pode registrar nomes que parecem o original à primeira vista. Alguns exemplos fictícios: exemp1o.com (o número 1 no lugar da letra l), exernplo.com (as letras r e n juntas imitando um m) e exemplo-seguro.com.br escrito como exemplo-segura.com.br. Em tela pequena, a diferença some. Leia letra por letra quando o link pedir algo de você.

Links encurtados escondem o destino

Um link encurtado, como curto.exemplo.com/abc, não mostra para onde leva. Em conversa com alguém conhecido, pode ser inofensivo. Em mensagem de remetente desconhecido, ou que cobra algo, trate como destino ignorado: não abra e vá direto ao canal oficial.

Passo 2: veja o destino sem abrir o link

No computador, passe o mouse sobre o link, sem clicar. O endereço de destino aparece no canto da janela do navegador. Compare com o texto do link: se o texto diz uma coisa e o destino diz outra, não clique.

No celular, a regra é segurar o dedo sobre o link. O sistema pode mostrar uma prévia do endereço ou um menu com a opção de copiar. Copie, cole num bloco de notas e leia com calma. O nome exato da opção muda conforme o aparelho e o app, então procure por algo como copiar ou visualizar o endereço.

Em e-mail, o mesmo vale. O nome do remetente que aparece no topo pode ser forjado, e o endereço de e-mail por trás dele merece o mesmo olhar que o endereço do link.

Passo 3: pare quando houver pressa ou pedido de dados

A mensagem maliciosa tenta tirar você do modo calmo. Veja os sinais de pressão:

• prazo curto, como "regularize hoje" ou "último aviso";
• ameaça de bloqueio, multa ou corte de serviço;
• prêmio, restituição ou benefício que você não esperava;
• pedido de senha, código recebido por SMS, dados de cartão ou documento;
• erro de português e formatação diferente da comunicação habitual da empresa.

Nenhum desses sinais prova sozinho que o link é falso, e a ausência deles também não prova que é verdadeiro. Mas link que cobra com urgência e pede dados pede, no mínimo, uma conferência no canal oficial. O artigo Golpe por SMS: como identificar e o que fazer mostra os tipos de mensagem-isca e como reagir.

Número temporário para cadastros pontuais em outros sites, sem expor o seu número pessoal. Conhecer o 11SMS

Passo 4: confirme pelo caminho que você mesmo escolhe

Uma conferência que não depende do link recebido é a que vale. Faça assim:

1. Feche a mensagem sem clicar.
2. Abra o app oficial da empresa ou do órgão, ou digite o endereço oficial na barra do navegador. Se não souber qual é, procure o endereço no cartão, na fatura impressa ou no contrato.
3. Procure ali o aviso, a cobrança ou o benefício citado na mensagem.
4. Se não encontrar nada, a mensagem pode não ser da empresa. Ligue para o telefone que consta no canal oficial, não para o número da mensagem.

Imagine que a Marina, dona de uma pequena loja, recebe uma mensagem dizendo que um pedido de material de embalagem está parado e que ela precisa pagar uma taxa por um link. Ela não clica. Abre o site do fornecedor digitando o endereço que está na nota fiscal, entra na área de pedidos e não vê nenhuma pendência. Sem pendência no site oficial, ela ignora a mensagem.

O cadeado e o HTTPS não bastam

Há quem ache que site com cadeado é site seguro. O que o cadeado e o https indicam é que os dados trafegam cifrados entre o seu navegador e o site. Isso protege contra quem espiona a conexão. Não diz nada sobre quem está do outro lado.

Um site feito para enganar também pode ter conexão cifrada, e o certificado não avalia a intenção de quem o criou. Para decidir se vale confiar, olhe o domínio, o contexto da mensagem e o que o site pede.

Verificadores de link: ajudam, mas não dão certeza

Existem serviços públicos que consultam listas de endereços conhecidos como perigosos. Um deles é o Relatório de Transparência do Google (Google Transparency Report), que tem uma página para consultar a situação de um endereço na Navegação segura do Google. Os navegadores também usam esse tipo de lista para exibir um aviso de página perigosa.

Use a ferramenta assim: copie o endereço sem abrir, cole no verificador e leia o resultado. Alguns cuidados valem para qualquer verificador:

• resultado "sem problemas encontrados" quer dizer que o endereço não está na lista, não que é confiável. Um site novo pode ainda não ter sido analisado;
• resultado de alerta é motivo para sair, e não para investigar por conta própria;
• o verificador analisa o endereço, não a intenção da mensagem. O pedido de dados e a urgência continuam sendo seus sinais.

Trate o verificador como mais uma checagem, e não como veredito.

Link de pagamento: confira quem recebe

Link ou QR code de pagamento pede uma atenção a mais, porque o erro custa dinheiro. Antes de confirmar um Pix, olhe a tela de confirmação do seu app do banco: ela mostra o nome de quem vai receber. Esse nome precisa bater com a pessoa ou a empresa com quem você combinou o pagamento.

Se o nome for de um desconhecido, ou diferente do esperado, cancele. Peça os dados de pagamento por outro canal, como uma ligação para o número que você já tinha da empresa. A mesma regra vale para boleto: confira o nome do beneficiário antes de pagar.

Número curto e remetente com nome conhecido

Nem o remetente com nome de empresa garante a origem da mensagem. Para entender como números curtos funcionam e como conferir um deles, veja SMS de número curto: o que é e como conferir. Para ver por que o nome do remetente pode enganar, leia o guia sobre SMS spoofing: o que é e por que o remetente engana.

Um roteiro curto para fixar

Quando chegar um link inesperado, repita mentalmente:

1. Quem enviou e eu esperava isso?
2. Qual é o domínio verdadeiro, lendo de trás para frente?
3. O link tem pressa, ameaça ou pede dados?
4. Consigo chegar ao mesmo assunto pelo app oficial ou digitando o endereço?

Se a resposta da última pergunta for sim, faça isso e ignore o link. Em dúvida, pergunte a alguém de confiança ou ao canal oficial da empresa antes de agir.

Número próprio e definitivo nas contas importantes

Para banco, gov.br, e-mail principal e qualquer conta que você precise recuperar um dia, use o seu número de verdade e definitivo. Número temporário expira, e quem perde o número perde a recuperação da conta.

Para cadastros pontuais, em sites de pouca importância, você pode preferir não deixar o número pessoal. Cada plataforma tem regras próprias, e vale respeitar os termos de uso de cada uma.

Número temporário para cadastros pontuais em outros sites, a partir de R$ 0,49 por número, conforme serviço e país, pago com saldo pré-pago. Acessar o 11SMS

Perguntas frequentes

Link com https é seguro?

Não necessariamente. O https indica conexão cifrada entre você e o site, não que o dono seja honesto. Confira o domínio e o que a página pede.

Posso abrir um link só para olhar?

Prefira não abrir. Veja o destino segurando o dedo ou passando o mouse, copie o endereço para um verificador e, se ainda houver dúvida, vá ao canal oficial.

Como saber se um link encurtado é perigoso?

Pelo link encurtado em si, não dá para saber. O destino fica escondido. Se a mensagem for de remetente desconhecido ou cobrar algo, ignore o link e confira pelo app oficial.

O verificador de links dá certeza?

Não. Ele consulta listas de endereços já conhecidos, e um site novo pode ainda não constar. Use como apoio, junto com a leitura do domínio.