Um comprador cauteloso, um prestador de pagamentos e o Google Merchant Center verificam uma loja nova com os mesmos métodos: comparam os dados da empresa com os registos oficiais, olham para a idade do domínio, procuram fotografias copiadas e leem as avaliações. Uma loja WooCommerce honesta pode chumbar neste teste por puro descuido, por exemplo um endereço antigo nos termos e condições ou uma conta pessoal nas instruções de transferência. Este artigo percorre essas verificações do lado do proprietário da loja, com o que deve corrigir antes que um cliente dê por isso. Os diplomas e serviços aqui referidos (o Decreto-Lei n.º 7/2004, o Decreto-Lei n.º 24/2014, a certidão permanente, a confirmação de beneficiário do Banco de Portugal, o Livro de Reclamações Eletrónico) aplicam-se a lojas estabelecidas em Portugal ou que vendem a clientes portugueses. O histórico do domínio, o cadeado, a pesquisa de imagens, o Merchant Center e as definições do WooCommerce funcionam da mesma forma em qualquer país.
O banco central português descreve bem o tipo de burla que torna os compradores desconfiados. No relatório dos sistemas de pagamentos de 2024, o Banco de Portugal escreve que a confirmação de beneficiário “terá permitido reduzir, de forma substancial, as fraudes relacionadas com transferências, nomeadamente as fraudes conhecidas como ‘Olá Pai, Olá Mãe’” (Banco de Portugal, Relatório dos Sistemas de Pagamentos 2024). Um comprador que já recebeu uma dessas mensagens, ou conhece quem a recebeu, verifica para onde vai o dinheiro antes de pagar a uma loja que não conhece, incluindo a sua.
Como o cliente verifica se uma loja online é de confiança
Verificar uma loja é inteligência de fontes abertas (OSINT): conclusões tiradas apenas de fontes públicas. Registos de empresas, o sistema europeu de validação de números de IVA, a base de dados WHOIS, arquivos da web, pesquisa de imagens e avaliações na internet. Nada disto exige conhecimentos técnicos, e por isso os mesmos passos aparecem nos conselhos que bancos e associações de consumidores dão a quem compra em linha. Em Portugal há um passo extra que muitos compradores já fazem sem pensar: ao introduzir o IBAN na aplicação do banco, leem o nome que aparece antes de confirmar a transferência.
Qualquer incoerência que o comprador encontre parece exatamente um sinal de burla. Dois endereços diferentes no rodapé e nos termos e condições, um NIF que não corresponde à firma, um nome de titular da conta que não é o da empresa: para quem está do outro lado do ecrã, cada uma destas falhas lê-se como um aviso, mesmo quando é apenas uma atualização esquecida. A loja não tem como explicar a divergência ao cliente que fechou o separador.
Que dados da empresa uma loja online tem de mostrar
Dois diplomas portugueses fixam o mínimo. O artigo 10.º do Decreto-Lei n.º 7/2004, de 7 de janeiro, sobre o comércio eletrónico, determina que os prestadores de serviços “devem disponibilizar permanentemente em linha, em condições que permitam um acesso fácil e directo, elementos completos de identificação” (Decreto-Lei n.º 7/2004, versão consolidada). O n.º 1 enumera-os: nome ou denominação social, endereço geográfico do estabelecimento e endereço eletrónico, inscrições em registos públicos com os respetivos números de registo e número de identificação fiscal. Quem exerce uma atividade sujeita a autorização prévia indica também a entidade que a concedeu (n.º 2). A última alteração ao diploma no Diário da República é a Lei n.º 12-A/2026, de 15 de abril, que assegura a execução do Regulamento dos Serviços Digitais, e o artigo 10.º mantém a mesma lista.
O segundo diploma é o Decreto-Lei n.º 24/2014, de 14 de fevereiro, sobre os contratos celebrados à distância. O artigo 4.º, n.º 1, alínea a), exige que, antes de o consumidor se vincular, o fornecedor indique a sua identidade, “incluindo o nome, a firma ou denominação social, o endereço físico onde se encontra estabelecido, o número de telefone e o endereço eletrónico, de modo a permitir ao consumidor contactá-lo e comunicar de forma rápida e eficaz” (Decreto-Lei n.º 24/2014, versão consolidada). A alínea c) acrescenta o endereço do estabelecimento onde o consumidor pode apresentar uma reclamação, quando é diferente do anterior. O telefone está na lista, e uma loja que só mostra um formulário de contacto falha esta alínea.
O cliente compara estes dados em quatro sítios: no rodapé, nos termos e condições, na política de privacidade e na fatura. Depois procura a empresa no registo. Em Portugal, a fonte oficial é a certidão permanente do registo comercial, que dá acesso em linha aos registos e documentos das empresas sujeitas a registo comercial. Pode consultá-la “qualquer pessoa que tenha o código de acesso”, e entregar esse código a uma entidade substitui a certidão em papel (gov.pt, consultar a certidão permanente). Um cliente empresarial pede muitas vezes o código antes da primeira encomenda grande, e uma loja que o tem à mão responde no mesmo dia.
A certidão mostra também o objeto social. Se a sociedade que aparece no rodapé está registada para uma atividade que nada tem a ver com o comércio que a loja exerce, um cliente cauteloso e o prestador de pagamentos ficam com dúvidas, porque um burlão pode fazer-se passar por uma empresa existente ou ficar com um domínio que ela deixou de usar. Uma sociedade registada como gabinete de projetos que vende cosméticos levanta exatamente essa pergunta.
O que corrigir na sua loja:
- uma única versão da firma, do NIF e do endereço no rodapé, nos termos e condições, na política de privacidade, nos e-mails transacionais do WooCommerce e nas faturas,
- um endereço igual ao que consta da certidão permanente, atualizado na mesma semana que o registo depois de uma mudança de instalações,
- o número de matrícula no registo comercial visível no rodapé ou na página de contacto, como pede a alínea c) do artigo 10.º do Decreto-Lei n.º 7/2004,
- um telefone e um e-mail que funcionem, porque a alínea a) do artigo 4.º do Decreto-Lei n.º 24/2014 exige ambos e porque um comprador que não consegue falar com ninguém desiste da compra.
Como verificar o NIF e a conta bancária da loja
O NIF da empresa verifica-se no VIES, o sistema da Comissão Europeia para validar números de IVA emitidos pelos Estados-Membros (VIES). A 24 de outubro de 2026 consultámos o serviço com o número de uma empresa portuguesa conhecida, a CTT, e a resposta trouxe “válido”, a denominação e a morada da sede. Um comprador que introduz o NIF do seu rodapé vê, portanto, se a firma e a morada que aparecem no VIES são as mesmas que as da loja. Se a sua empresa vende a clientes empresariais de outros países da UE, um NIF que o VIES dá como inválido é a primeira pergunta que o departamento de compras lhe vai fazer.
A conta bancária verifica-se de outra forma, e com mais peso. O Banco de Portugal disponibiliza desde 20 de maio de 2024 o serviço de confirmação de beneficiário. Na modalidade singular, “após digitar o IBAN para iniciar uma transferência, é-lhe apresentado o nome do primeiro titular da conta de pagamento para a qual pretende transferir os fundos” (Banco de Portugal, RSP 2024). O serviço não tem custos acrescidos para o utilizador, para além do custo da própria transferência. Desde 9 de outubro de 2025, os prestadores de serviços de pagamento estão ainda obrigados a oferecer a verificação do beneficiário pan-europeia prevista no Regulamento (UE) 2024/886, que compara o nome indicado pelo ordenante com o titular da conta noutros países da área do euro.
O cliente empresarial tem aqui um instrumento próprio. A confirmação de beneficiário agrupada valida pares NIF/IBAN ou NIPC/IBAN antes de pagamentos em lote, e o Banco de Portugal escreve que esta funcionalidade “é particularmente relevante para as empresas, viabilizando, por exemplo, a confirmação de que os pagamentos efetuados a fornecedores ou os pagamentos de salários são realizados para os destinatários pretendidos”. Em 2024 foi usada 61 mil vezes e validou mais de 3 milhões de pares. O contabilista de um cliente grossista que carrega o ficheiro de pagamentos a fornecedores vê, sem lhe telefonar, se o IBAN da sua fatura pertence à empresa com o NIF da mesma fatura.
No WooCommerce, o número da conta para transferência bancária é introduzido nas definições do método de pagamento por transferência bancária direta (no código: bacs), e a loja mostra-o na página de confirmação da encomenda e no e-mail da encomenda (WooCommerce). Coloque aí a conta da empresa, titulada pela sociedade com o NIF que aparece no rodapé. A conta pessoal do proprietário mostra ao comprador um nome de pessoa singular no momento da transferência, e é a primeira coisa a chumbar no teste. O mesmo vale para o IBAN impresso nas faturas emitidas pelo programa de faturação: tem de ser igual ao das definições do WooCommerce.
Como verificar a idade do domínio da loja no WHOIS
As lojas falsas duram pouco: os domínios são registados em quantidade, usados pouco depois do registo e abandonados quando começam a aparecer denúncias. Por isso, o comprador olha para a data de registo do domínio. Para domínios .pt, o WHOIS do registo nacional (whois.dns.pt) mostra a data de criação, a data de expiração e o titular. Exemplo: uma consulta a cncs.pt, o domínio do Centro Nacional de Cibersegurança, devolve a data de criação de 21 de outubro de 2014 e, como titular, o Gabinete Nacional de Segurança. Para qualquer domínio, a segunda fonte é a Wayback Machine, onde se vê o aspeto do site em anos anteriores.
Um domínio recente não significa burla, mas, junto com um preço baixo e a falta de dados da empresa, torna-se um sinal forte para o comprador. O que pode fazer:
- depois de mudar de marca, mantenha o domínio antigo com um redirecionamento 301, para que o histórico do endereço antigo leve à loja nova,
- explique na página “sobre nós” desde quando está em atividade e com que nome anterior, de acordo com a data de matrícula que consta da certidão permanente,
- não compre um domínio que pertenceu a outra empresa sem verificar o seu histórico na Wayback Machine, porque conteúdos antigos ou denúncias passam com o endereço.
O cadeado no navegador significa que a loja é segura
Não. O cadeado mostra que a ligação entre o navegador e o servidor é cifrada e que o certificado foi emitido para aquele domínio. Diz quem controla o endereço, não quem está por trás da loja, e os burlões usam certificados válidos como qualquer outro site.
Um certificado gratuito da Let’s Encrypt é emitido automaticamente: o cliente ACME “prova à autoridade de certificação (CA) que o servidor web controla um domínio” (tradução própria, Let’s Encrypt). Ninguém verifica a empresa, o endereço ou se a loja chega sequer a enviar mercadoria. O HTTPS numa loja WooCommerce é obrigatório por outras razões, mas o que convence um cliente cauteloso são os dados da empresa, a conta e o histórico do domínio.
A 21 de outubro de 2026, a Google anunciou que o Chrome passou a pedir autorização antes de abrir uma ligação HTTP não segura. Já este ano a proteção existia para quem usava a proteção melhorada do Chrome, e agora fica ativa por predefinição para todos os utilizadores (Google, 21 de outubro de 2026). Depois de o visitante aprovar um site, o Chrome só volta a perguntar quando passarem pelo menos duas semanas sem visitas a esse site. Se a sua loja ainda serve páginas por HTTP, o cliente vê esse pedido antes de qualquer conteúdo carregar.
Como verificar se as fotografias dos produtos são roubadas
A pesquisa inversa de imagens (Google Lens, TinEye, Bing) mostra onde mais na internet aparece uma dada fotografia. O comprador carrega a fotografia de um produto e vê se vem do catálogo do fabricante, da loja de outra pessoa ou de um banco de imagens. Fotografias apelativas de produtos de marcas conhecidas, copiadas de outras lojas, são uma das marcas habituais das lojas falsas, porque custam zero a quem monta uma.
Uma loja que usa apenas fotografias do fabricante não faz nada de errado, mas também não se distingue: os mesmos ficheiros aparecem em dezenas de outras lojas, incluindo as falsas. Algumas fotografias próprias de cada produto mais vendido (o produto na sua mesa, a embalagem com a etiqueta de envio, uma imagem do armazém) dão ao comprador a prova de que a mercadoria existe fisicamente. As mesmas fotografias próprias ajudam nos resultados da pesquisa por imagem, tema do artigo sobre o Google Lens e a otimização de imagens no WooCommerce.
Como verificar se as avaliações de uma loja são verdadeiras
Desde 28 de maio de 2022 vigoram em Portugal as regras da diretiva Omnibus sobre avaliações, introduzidas pelo Decreto-Lei n.º 109-G/2021 no regime das práticas comerciais desleais, o Decreto-Lei n.º 57/2008. O artigo 10.º-A, n.º 4, diz que, quando um profissional dá acesso a avaliações de consumidores, “são consideradas substanciais as informações sobre se o profissional garante que as avaliações publicadas são efetuadas por consumidores que efetivamente utilizaram ou adquiriram os produtos e sobre os mecanismos ou ferramentas utilizadas para o efeito” (Decreto-Lei n.º 57/2008, versão consolidada). O artigo 8.º junta à lista de práticas enganosas em qualquer circunstância duas alíneas: declarar que as avaliações vêm de quem comprou sem adotar medidas razoáveis para o verificar (alínea cc)) e apresentar avaliações falsas ou distorcidas, ou encomendá-las a terceiros (alínea dd)).
Se vende através de um mercado em linha, há uma regra mais concreta no artigo 4.º-B do Decreto-Lei n.º 24/2014, aditado pelo mesmo Decreto-Lei n.º 109-G/2021. O prestador do mercado em linha que mostra avaliações tem de verificar a transação prévia quando a avaliação é anunciada como de quem comprou, identificar as avaliações feitas em troca de um benefício e “assegurar que todas as avaliações, positivas ou negativas, permanecem disponíveis por idêntico período, não inferior a seis meses”. Tem ainda de oferecer um mecanismo para reportar avaliações falsas ou abusivas e deixar o vendedor responder. A regra dirige-se ao mercado, mas o princípio serve para qualquer loja: apagar as críticas negativas e deixar as positivas é precisamente o que o comprador cauteloso procura.
O comprador também olha para a distribuição das avaliações no tempo. Um intervalo estranho no histórico, por exemplo as mais recentes das últimas duas semanas e as anteriores com mais de um ano, leva-o a confiar menos. O mesmo acontece com avaliações exclusivamente positivas, ou repetitivas e publicadas num curto espaço de tempo.
No WooCommerce é possível permitir avaliações apenas de clientes que compraram o produto e marcá-las com a indicação de proprietário verificado (WooCommerce). Se o faz, diga-o numa frase junto às avaliações: quem pode avaliar e se publica todas. Isso cumpre o dever de informação do artigo 10.º-A e, ao mesmo tempo, dá ao comprador uma razão para confiar. Se recolhe avaliações num serviço externo, descreva da mesma forma o método de verificação desse serviço.
O Livro de Reclamações Eletrónico como sinal de confiança
Há uma verificação própria de Portugal que o comprador português conhece de qualquer loja física. O artigo 5.º-B do Decreto-Lei n.º 156/2005, aditado pelo Decreto-Lei n.º 74/2017, obriga o fornecedor a ter o formato eletrónico do livro de reclamações e, no n.º 2, a “divulgar nos respetivos sítios na Internet, em local visível e de forma destacada, o acesso à Plataforma Digital” (Decreto-Lei n.º 156/2005, versão consolidada). O n.º 4 fixa o prazo de resposta ao consumidor em 15 dias úteis a contar da data da reclamação, salvo prazo inferior em lei especial.
A plataforma é gerida pela Direção-Geral do Consumidor, e a página inicial do Livro de Reclamações Eletrónico mostrava, a 24 de outubro de 2026, 462 340 fornecedores e prestadores registados e 1 701 495 reclamações. Para o comprador, a ligação no rodapé é um sinal de que a loja tem um operador registado por trás e um canal oficial onde a reclamação fica registada. Para si, a ligação em falta é uma infração e um ponto a menos no teste de credibilidade.
O que fazer no WooCommerce: registe a empresa na plataforma como fornecedor de bens, coloque a ligação para o Livro de Reclamações Eletrónico no rodapé de todas as páginas, e não apenas nos termos e condições, e defina quem responde às reclamações que chegam por e-mail, para cumprir os 15 dias úteis.
Como uma loja falsa se faz passar por uma verdadeira
O clone de uma loja verdadeira copia o logótipo, as fotografias e as descrições, e distingue-se pelo domínio e pela conta para pagamentos. Há três variantes habituais: a imitação de lojas conhecidas com uso dos seus logótipos, sites fictícios que desaparecem pouco tempo depois e lojas que enviam mercadoria diferente da descrita. A estas juntam-se gralhas no endereço fáceis de não ver e domínios que pertenciam a empresas que nunca tiveram loja online. A confirmação de beneficiário torna o clone mais difícil de esconder, porque o nome do titular da conta deixa de bater certo com a marca copiada.
Uma loja honesta é diretamente afetada pela variante do pagamento legítimo numa loja falsa: o burlão compra em simultâneo numa loja verdadeira com os seus próprios dados, e a vítima paga sem saber a encomenda dele. No seu WooCommerce, isto parece uma encomenda normal e paga. Um comprador que pagou com cartão pode pedir ao banco o estorno (chargeback), e a reclamação chega ao comerciante que aceitou o pagamento quando a mercadoria já está com o burlão. Sinais para os quais vale a pena configurar um alerta na gestão de encomendas: morada de entrega que não coincide com os dados de quem paga, cacifo de recolha em vez de morada para artigos caros, várias encomendas com cartões diferentes para a mesma morada.
A Google trata práticas semelhantes como violação grave das políticas do Merchant Center e reserva-se o direito de não enviar aviso prévio nesses casos. Entre os exemplos estão “apresentar uma identidade, nome comercial ou informações de contacto falsos” e “indicar um endereço físico falso ou virtual como sede enquanto opera inteiramente a partir de uma região não divulgada” (tradução própria, Google Merchant Center). Uma loja honesta com morada num escritório virtual não viola esta regra, desde que não esconda de onde opera e envie de facto. Ainda assim, vale a pena dizê-lo claramente na página de contacto.
Como denunciar uma loja falsa que se faz passar pela sua empresa
Em Portugal, a denúncia de um crime informático pode ser enviada ao Gabinete Cibercrime da Procuradoria-Geral da República, pelo endereço [email protected], com o assunto “Denúncia” (Ministério Público, Gabinete Cibercrime). O gabinete lembra que, nos termos do artigo 246.º, n.º 2, do Código de Processo Penal, as denúncias criminais devem conter a identificação do denunciante e a respetiva assinatura, e reencaminha as comunicações para os serviços competentes do Ministério Público. Junte o endereço do clone, capturas de ecrã com data, o IBAN que o clone indica e o endereço da sua loja. O Centro Nacional de Cibersegurança (CNCS) tem também um canal de notificação de incidentes, mas a 24 de outubro de 2026 o sítio do CNCS não respondeu às nossas ferramentas, por isso confirme lá o formulário em vigor antes de o usar.
A denúncia às autoridades é um de três passos. O segundo é uma denúncia de abuso à empresa de alojamento e ao registador do domínio, cujos dados encontra no WHOIS e nos registos DNS do clone; para domínios .pt, o WHOIS do registo nacional indica o titular e os contactos técnicos. O terceiro é um aviso aos clientes no seu site e nas redes sociais: qual é o seu único endereço e qual o titular e o IBAN da sua conta. Se alguém já pagou para a conta do clone, encaminhe-o para o banco e para a polícia, e lembre-lhe que pode apresentar reclamação à Direção-Geral do Consumidor através do formulário de reclamação da DGC.
Lista de verificação: o teste de credibilidade de uma loja WooCommerce
Os pontos que um comprador cauteloso verifica, do mais rápido para o mais demorado.
| O que o comprador verifica | Onde | O que tem de coincidir na sua loja |
|---|---|---|
| Firma, NIF, endereço, matrícula | Rodapé, termos e condições, certidão permanente | Uma única versão dos dados em todo o lado e no registo |
| NIF | VIES | Número válido, com a mesma denominação e morada |
| Conta para transferência | Confirmação de beneficiário no banco | Nome da empresa como titular, nas definições de transferência e na fatura |
| Idade do domínio | WHOIS, Wayback Machine | Um histórico coerente com o que diz sobre a empresa |
| Cadeado | Barra de endereço | O HTTPS está lá, mas não prova nada |
| Fotografias dos produtos | Pesquisa inversa de imagens | Fotografias próprias dos mais vendidos |
| Avaliações | Página do produto, serviços externos | Informação sobre se e como verifica as avaliações |
| Livro de Reclamações | Rodapé | Ligação visível para a plataforma, resposta em 15 dias úteis |
| Contacto | Telefone, e-mail | Alguém atende e responde |
| Devoluções | Termos e condições | Procedimento claro, prazo e morada de devolução |
Dados da empresa coerentes fazem também parte do cumprimento do direito do consumo em Portugal, a par do RGPD, da Omnibus, do GPSR e das regras de livre resolução do Decreto-Lei n.º 24/2014. A proteção técnica de uma loja é o tema do guia de hardening do WordPress. Para que esta lista seja verificada na sua loja e as definições de pagamento, os e-mails transacionais e o rodapé sejam corrigidos, descreva o projeto na página programador WooCommerce ou peça uma auditoria de segurança WordPress.
Atualização de . Os selos de confiança junto ao botão de compra só ajudam quando cada um é verdadeiro para a sua loja. Mostre um selo de garantia de reembolso, portes grátis ou apoio 24/7 apenas se as suas condições o oferecerem de facto. Um selo que promete mais do que as condições é uma alegação enganosa, e quem o comparar com a política de devoluções nota a diferença. Um ícone sem texto nada diz a quem usa um leitor de ecrã, por isso cada selo precisa de uma legenda curta. O nosso plugin Badgevo é uma forma de o fazer no WooCommerce. Mostra uma fila de selos de pagamento seguro depois do botão de adicionar ao carrinho, sob um título escrito por si. Há dez selos SVG embutidos à escolha: pagamento seguro, encriptação SSL, garantia de reembolso, loja verificada, portes grátis, pagamento com cartão, carteira digital, apoio 24/7, privacidade protegida e satisfação. Sob cada selo surge uma legenda curta na língua do site, que é o que o leitor de ecrã anuncia. A definição opcional “Show on checkout” coloca a fila sob o botão de fazer a encomenda na finalização de compra clássica, ou sob o formulário no bloco Checkout.
