"Olha, tem o cadeado — é site seguro."
Essa frase custa muito dinheiro ao consumidor brasileiro, e o motivo é que ela mistura duas coisas completamente diferentes.
O que o cadeado garante
O cadeado indica que a conexão entre o seu navegador e o servidor está criptografada. Na prática: se alguém interceptar o tráfego no meio do caminho — no Wi-Fi do café, no provedor, na rede da empresa — não vai conseguir ler o que trafega.
É proteção real e importante. Sem ela, sua senha e o número do cartão viajariam legíveis.
O que ele nunca garantiu
O cadeado não diz nada sobre quem controla o servidor do outro lado.
Ele prova que a conexão é privada, não que a empresa é idônea. Um golpista com um site criptografado tem exatamente o mesmo cadeado que um banco.
Por que isso piorou
Até uns dez anos atrás, certificado custava caro e exigia alguma verificação. Não era garantia de idoneidade, mas havia atrito.
Hoje o certificado é gratuito e automático. Serviços como o Let's Encrypt emitem em segundos, sem intervenção humana, para qualquer pessoa que prove controlar o domínio — e controlar o domínio é justamente o que o golpista faz, já que ele o registrou.
O resultado: praticamente todo site de golpe tem cadeado. Ele deixou de ser sinal de qualquer coisa sobre a loja.
Existe um tipo de certificado que diz mais
Nem todos são iguais. Há três níveis:
DV (validação de domínio). Prova só que quem pediu controla o endereço. É o gratuito e automático. A esmagadora maioria dos sites — honestos e golpes — usa este.
OV (validação de organização). O emissor confere que a empresa existe, com documentos. Custa dinheiro e leva dias.
EV (validação estendida). Verificação mais rigorosa ainda, usada por bancos e grandes varejistas.
Golpista não passa por OV nem EV: exigem documento de empresa real e uma verificação que não se automatiza.
No navegador, os três aparecem com o mesmo cadeado — a distinção sumiu da interface anos atrás. Mas ela continua no certificado, e é uma das coisas que checamos: quando um site tem certificado com organização validada, isso conta a favor dele na análise. Quando tem só o DV gratuito, o critério fica neutro — não pesa contra, porque loja honesta pequena também usa, mas não pesa a favor, porque não prova nada.
O que olhar no lugar
Em vez do cadeado, procure o que exige dinheiro, tempo ou identidade para existir:
- CNPJ e razão social no rodapé
- Idade do domínio
- Telefone fixo e e-mail no próprio domínio
- Cartão de crédito entre os meios de pagamento
- Política de troca publicada de verdade
Nenhum desses é impossível de forjar. Mas todos custam mais caro do que um certificado gratuito — e é aí que a economia do golpe começa a não fechar.