Nossas verificações olham apenas o que qualquer pessoa já pode ver pela Internet — exatamente o que um atacante olha primeiro. Sem conta, nada para instalar e nada é forçado: as verificações são não intrusivas.
Um link é um link, chegue por SMS, WhatsApp, uma rede social ou um e-mail. Seguimos os primeiros links até ao seu destino real, depois de remover os parâmetros que poderiam identificá-lo. Nenhum formulário é preenchido, nenhum código é inserido, nenhum ficheiro é executado.
Em cada link pesamos vários sinais em conjunto:
Algumas palavras na mensagem — «vote em», «a minha sobrinha», «concurso», «a sua conta vai ser encerrada» — são um isco clássico. Sozinhas não provam nada; combinadas com um link suspeito, disparam o alerta.
Para um e-mail, lemos também as verificações de remetente registadas pelo servidor que o recebeu (SPF, DKIM, DMARC) e os anexos — lidos como ficheiros, nunca abertos.
O veredito dá um nível de risco, do mais neutro ao mais sério, definido pelo pior sinal encontrado. Para continuarmos eficazes, não publicamos os limiares exatos que usamos — seria dar aos golpistas um guia para escapar.
O que guardamos: um registro de cada verificação (data, hora, endereço IP, tipo) por 12 meses; o texto da mensagem por 30 dias, para melhorar a detecção; e os endereços dos links perigosos, sem seus parâmetros e sem qualquer ligação com você. Os links são comparados com uma cópia da base URLhaus (abuse.ch) mantida em nossos servidores: nenhum link sai deles. Detalhes na nossa política de privacidade.
Cerca de 138 verificações (204 regras) em 19 categorias medem se o site e seu e-mail seguem as boas práticas e as obrigações: domínio e DNS, autenticação e entrega de e-mails, certificado e criptografia, cabeçalhos de segurança e cookies, software sem suporte, país e jurisdição da hospedagem, aviso legal, GDPR. A partir de 90 é sólido; abaixo de 50, muito fraco.
Começa em 100 e perde pontos a cada cenário de abuso encontrado — 15 no total, mais 3 complementos: segredos esquecidos online (arquivos .env, repositórios .git, backups), um banco de dados aberto à Internet, um subdomínio abandonado que outra pessoa poderia assumir, um domínio prestes a expirar, painéis de administração expostos, software desatualizado, criptografia fraca, um redirecionamento aberto… Os mais profundos — segredos esquecidos online, um banco de dados aberto à Internet, painéis de administração expostos — só são mostrados e detalhados depois que o proprietário comprova o domínio, e explicados após o pagamento. Quanto maior a nota, melhor o site resiste.
Procuramos as portas de entrada que um atacante procura primeiro: algumas portas de administração conhecidas no servidor do site (4443, 5001, 5480, 8006, 9090, 9443, 10443) e os nomes publicados no DNS do domínio que parecem uma entrada (vpn., remote., portal., citrix., owa., vcenter., gitlab.…), apenas na porta 443. Só lemos a página de login: nenhum usuário, nenhuma senha, nenhum exploit.
Reconhecemos gateways VPN (Fortinet, Ivanti, Citrix NetScaler, Palo Alto, Cisco, Check Point, SonicWall, F5), ferramentas de acesso remoto (ScreenConnect, SimpleHelp, MeshCentral, Guacamole, RD Web Access), consoles de administração (vCenter/ESXi, Proxmox, iLO, iDRAC, Cockpit, Portainer, phpMyAdmin, Adminer, Jenkins, Kaseya) e aplicações expostas (Exchange OWA, MOVEit, GoAnywhere, Confluence, Jira, GitLab, Grafana, Kibana, Synology, QNAP). Um console de administração publicado é grave; uma ferramenta de acesso remoto é um risco médio; um gateway VPN é normal e não baixa a nota — o que importa é mantê-lo atualizado. Uma versão só é anotada se a página a exibir.
AnyDesk e TeamViewer passam pelos servidores do seu fornecedor: nada é publicado do lado do domínio, por isso não podemos vê-los.
Se os servidores DNS de um domínio não respondem, sinalizamos isso como um problema grave: sem eles, o site e o e-mail ficam inacessíveis para parte dos visitantes.
Cobertura estimada: 60 a 80%. Não é um teste de intrusão: nada de força bruta, exploit ou injeção.
Veja como uma verificação amigável — uma batida educada na porta da frente: de fora, olhamos se as proteções mais conhecidas e recomendadas estão em vigor, sem nunca tentar entrar.
Nenhuma senha é testada e nenhum ataque é simulado. A idade do software é avaliada pelas datas de fim de suporte dos fabricantes. As verificações mais profundas (mais portas e caminhos sensíveis) só são mostradas e detalhadas depois que você comprova ser o dono do domínio, e explicadas após o pagamento.
O relatório cita as menções legais obrigatórias francesas (LCEN), o GDPR e o CLOUD Act americano. Nossas verificações também ajudam a cumprir parte do artigo 32 do GDPR, das recomendações da CNIL sobre cookies, do artigo 21 da NIS2, das exigências do Gmail e do Yahoo para remetentes e do PCI DSS 4.0 — elas ajudam, não certificam a conformidade.