Para saber se um site é confiável antes de comprar, confira quem está por trás dele: o CNPJ no rodapé, ativo na Receita Federal, a idade e o dono do domínio, a reputação em sites de reclamação e o nome de quem recebe o Pix na hora de pagar. O cadeado do navegador não entra nessa lista, porque ele só prova que a conexão é criptografada.

A Black Friday de 2026 cai na sexta-feira, 27 de novembro, daqui a um mês. Com tanta oferta ao mesmo tempo, fica mais fácil para uma loja falsa se misturar às verdadeiras. Abaixo estão as checagens que dá para fazer de graça, em fontes oficiais, o que o direito de arrependimento cobre e o que fazer se o dinheiro já saiu.

• A lista do Procon-SP e o que ela não cobre

• CNPJ na Receita e idade do domínio

• Por que o cadeado não prova nada

• Os sinais de golpe na hora de pagar

• Arrependimento de 7 dias e o que fazer no golpe

Comece pela lista do Procon-SP

O Procon-SP mantém a lista Evite esses Sites, com lojas que tiveram reclamações de consumidores, foram notificadas e não responderam ou não foram encontradas. Ela mostra o endereço, a empresa, o CNPJ ou CPF e a data de inclusão. Se a loja está lá, não compre. Se não está, isso ainda não prova nada.

A consulta é aberta, na página da lista Evite esses Sites do Procon-SP. Em 27 de outubro de 2026, ela tinha 83 endereços, com a última atualização em 12 de maio de 2026. Das 83 lojas, 74 já estavam fora do ar quando foram incluídas.

Esse último número diz muito. O caminho até a lista é lento por natureza: alguém reclama, o Procon notifica, a empresa não responde. Uma loja montada só para a Black Friday pode sair do ar antes de completar esse ciclo. Use a lista como primeiro filtro, nunca como atestado.

CNPJ no rodapé, conferido na Receita

Todo site que vende pela internet é obrigado, pelo Decreto 7.962/2013, a mostrar em lugar de destaque o nome empresarial, o CNPJ ou CPF, o endereço físico e um contato. Loja sem esses dados já falhou no primeiro teste. Com o número em mãos, a consulta na Receita Federal é grátis e não pede cadastro.

1. Ache o CNPJ no rodapé ou na página de quem somos e copie o número.

2. Passe o número no validador de CPF e CNPJ do site. Ele confere só se a conta dos dígitos verificadores fecha, sem consultar a Receita. Número que não passa foi digitado errado ou inventado, e você nem precisa ir adiante.

3. Emita o comprovante de inscrição e de situação cadastral na Receita. Veja a situação cadastral, que precisa estar ativa, a data de abertura, a atividade principal e o endereço.

4. Compare. A razão social do comprovante é a mesma do rodapé? A atividade combina com o que a loja vende? Empresa aberta há poucas semanas vendendo eletrônico com desconto enorme pede cautela redobrada.

O passo 4 é o que mais importa. Um CNPJ que existe não basta, porque nada impede que um site falso copie o número de uma empresa real. A pergunta certa não é se o CNPJ existe, é se ele pertence a esta loja.

Idade do domínio e reputação da loja

O endereço do site também tem certidão de nascimento. Para domínios .br, o Whois do Registro.br mostra a data de criação, o titular e, quando o titular é empresa, o CNPJ. Para .com e outros finais genéricos, a consulta da ICANN mostra a data de registro. Domínio de poucas semanas com desconto enorme é sinal para parar.

Na consulta do Whois do Registro.br, procure o campo criado e o documento do titular. Se o CNPJ do domínio é diferente do CNPJ do rodapé, a loja precisa ter uma boa explicação. Para endereços fora do .br, a consulta de registro da ICANN faz o mesmo papel.

Domínio novo não prova golpe, porque toda loja um dia estreou. O que pesa é a combinação: endereço criado há pouco, CNPJ que não bate, preço muito abaixo do mercado. Duas dessas juntas já bastam para fechar a aba.

Depois, procure o nome da loja e o CNPJ no Reclame Aqui e nas redes sociais. Ter reclamação é normal; o que interessa é se a loja responde e resolve. Loja sem rastro nenhum, sem avaliação e sem reclamação, em plena Black Friday, merece a mesma desconfiança da que acumula reclamação sem resposta. Vale ainda olhar o status do site no Google, que diz se o endereço já foi marcado como inseguro.

O cadeado não prova que é seguro

O cadeado ao lado do endereço só diz que a conexão entre você e o site é criptografada, ou seja, ninguém no meio do caminho consegue ler ou alterar o que você digita. Ele não diz quem está do outro lado. Um site falso exibe o mesmo cadeado que uma loja grande.

Quem disse isso com todas as letras foi o próprio time do Chrome, num texto de maio de 2023 sobre o ícone do cadeado: o cadeado não indica que o site é confiável, quase todo site de phishing usa HTTPS e, numa pesquisa de 2021, só 11% dos participantes entendiam o significado exato do ícone. Foi por isso que o Chrome trocou o cadeado por um ícone de ajustes a partir da versão 117.

Então inverta o raciocínio. Site sem HTTPS em 2026 é motivo para não comprar. Site com HTTPS é só o mínimo, e todas as checagens acima continuam valendo.

Sinais de golpe na hora de pagar

Na hora de pagar, quatro sinais pesam mais que qualquer selo: a loja aceitar só Pix, transferência ou boleto; o Pix ir para um nome que não é o da loja; um preço bom demais; e um anúncio de rede social que leva a um site que você nunca viu. Qualquer um deles já pede uma pausa.

• Só Pix, transferência ou boleto: o Procon de Santo André recomenda não comprar quando essas são as únicas opções, porque pelo cartão o acesso ao fornecedor é mais fácil se algo der errado. No cartão, prefira o virtual, que tem dados diferentes do físico; algumas instituições já renovam até o código de segurança dele, como mostrei no post sobre o CVV dinâmico do cartão virtual.

• O nome de quem recebe o Pix: pelas regras do Banco Central para o Pix, antes de confirmar, o app mostra o nome completo de quem recebe e o CPF mascarado ou o CNPJ; se for empresa, aparece o nome fantasia ou a razão social. Se o nome não tem nada a ver com a loja, cancele. É a mesma tela que faz o cliente desconfiar de quem vende e recebe no CPF, assunto do post sobre receber dos clientes sem perder venda.

• Preço bom demais: a Cartilha de Segurança do CERT.br avisa que golpistas criam anúncios a preços muito baixos para atrair compradores. Compare com o preço que você anotou antes, que é o método da lista que desmascara a metade do dobro.

• Anúncio em rede social: links e publicações patrocinadas também são usados por golpistas. Em vez de clicar, digite o endereço da loja no navegador e confira se o perfil é o oficial, com selo de verificado e link da descrição levando ao site da empresa.

Para medir o desconto de verdade, use a calculadora abaixo no modo variação %: o valor inicial é o preço que você anotou antes da Black Friday, e o valor final é o preço da oferta. Se o desconto real está muito acima do que as lojas conhecidas dão no mesmo produto, desconfie.

Em loja de fora do Brasil, faça a conta em reais antes de se empolgar: o conversor de moedas mostra a cotação do dia e o valor com o IOF do cartão, sem o spread do banco, que muda de um para outro.

Arrependimento de 7 dias: o que vale

Pelo artigo 49 do Código de Defesa do Consumidor, quem compra fora da loja física pode desistir em até 7 dias, contados da assinatura ou do recebimento do produto, e o dinheiro pago volta de imediato, corrigido. O Decreto 7.962/2013 aplica essa regra ao comércio eletrônico. A lei não pede motivo: basta desistir dentro do prazo.

O texto do decreto, no Planalto, detalha o resto. A loja tem de informar com clareza como você exerce o arrependimento, e você pode fazer isso pela mesma ferramenta usada na compra. Ela deve confirmar na hora que recebeu o pedido e avisar o banco ou a administradora do cartão para que a compra não seja lançada na fatura, ou seja estornada.

Na prática: peça por escrito, pelo site ou por e-mail, guarde a confirmação e conte os 7 dias a partir do dia em que o produto chegou. Se a loja não responder, o caminho é o Procon da sua cidade.

O direito de arrependimento protege você de uma loja de verdade. Contra uma loja falsa, não existe a quem pedir. Por isso a checagem vem antes da compra, não depois.

Caiu no golpe: o que fazer agora

Se o dinheiro já saiu, a ordem importa. Ligue para o banco ou use o chat do aplicativo na hora, diga que foi golpe e peça a devolução do Pix por fraude, o chamado MED. Se pagou no cartão, peça a contestação da compra. Depois registre o boletim de ocorrência e guarde todas as provas.

1. No Pix: segundo o guia do Procon do Ceará sobre o MED, o pedido pode ser feito em até 80 dias, mas quanto antes, maior a chance. O gerente na agência não aciona o MED: é por telefone ou chat. Anote o protocolo. A análise leva até 7 dias corridos e, confirmada a fraude, o dinheiro volta em até 96 horas, inteiro ou em parte, conforme o saldo na conta do golpista. O roteiro dos primeiros minutos está no post sobre o golpe da voz clonada no Pix.

2. No cartão: fale com o banco emissor pelo aplicativo ou pelo telefone, explique que a loja não entregou ou era falsa e peça a contestação. Se você digitou os dados do cartão num site suspeito, peça também a troca do cartão.

3. Provas: faça print do anúncio, da página do produto, do pedido, do comprovante de pagamento, do endereço do site e das conversas. Sem isso, cada etapa seguinte fica mais difícil.

4. Boletim de ocorrência: registre na delegacia, ou pela delegacia eletrônica onde o seu estado oferece. A Cartilha do CERT.br põe o boletim entre os passos de quem comprou e não recebeu.

5. Denúncia: reclame no Procon da sua cidade ou do seu estado, que é de onde nasce uma lista como a do Procon-SP, e denuncie o endereço no formulário do Google para páginas falsas. Isso ajuda a avisar o próximo comprador.

Faltam 31 dias para a Black Friday. Dá tempo de anotar o preço de hoje dos produtos que você quer e de deixar estas checagens prontas para o dia, quando a pressa é a melhor amiga do golpista. E se você está do outro lado do balcão, com loja própria, o calendário para preparar o site e a loja para a Black Friday mostra o que fazer antes do dia 27.

Perguntas frequentes

Como saber se um site de compras é confiável?

Confira se o CNPJ aparece no site e está ativo na Receita com a mesma razão social, quando o domínio foi criado no Registro.br ou na ICANN, se a loja responde reclamações e se o Pix vai para o nome da empresa. Consulte também a lista Evite esses Sites do Procon-SP. O cadeado sozinho não prova nada.

Como consultar a lista de sites do Procon?

A lista Evite esses Sites fica no site do Procon-SP, em sistemas.procon.sp.gov.br/evitesite. Ela traz o endereço, a empresa, o CNPJ ou CPF e a data de inclusão. Em 27 de outubro de 2026 tinha 83 endereços; estar fora dela não garante que a loja é confiável.

O cadeado no navegador garante que o site é seguro?

Não. O cadeado indica só que a conexão é criptografada. O próprio time do Chrome escreveu que ele não indica que o site é confiável e que quase todo site de phishing usa HTTPS.

Comprei num site falso pelo Pix. Consigo o dinheiro de volta?

Pode conseguir, sem garantia. Peça ao seu banco, por telefone ou chat, a devolução do Pix por fraude (MED) o quanto antes, dentro de 80 dias. A devolução depende do saldo que ainda estiver na conta de quem recebeu.

Qual o prazo para devolver uma compra feita pela internet?

Sete dias, contados do recebimento do produto, pelo artigo 49 do Código de Defesa do Consumidor. O valor pago volta de imediato e corrigido, e a lei não exige motivo para desistir.

Site sem CNPJ é golpe?

Não necessariamente, mas desconfie. O Decreto 7.962/2013 obriga a loja virtual a mostrar em lugar de destaque o nome empresarial, o CNPJ ou o CPF do vendedor e o endereço. Site que não mostra nenhum desses dados está fora da regra, e você não tem como conferir quem está vendendo.