Verificador de links seguros

Por que verificar um link antes de clicar ou publicar

Todo link é uma promessa: o texto âncora diz uma coisa, e o servidor do outro lado entrega outra. Na maior parte do tempo essa promessa é cumprida, mas basta uma campanha com destino errado, uma página que saiu do ar ou um domínio comprado por terceiros para transformar tráfego pago em prejuízo — ou, pior, expor seu público a uma página de phishing publicada sob um domínio parecido com o seu. Verificar a URL antes de disparar uma newsletter, imprimir um QR Code ou aprovar um criativo custa dez segundos e evita retrabalho caro.

Esta ferramenta faz a requisição a partir do nosso servidor, seguindo cada salto de redirecionamento manualmente. Isso importa porque, quando você abre um link suspeito no navegador, já executou JavaScript da página, já entregou seu endereço IP, seu user agent e possivelmente cookies de terceiros. A verificação server-side observa a resposta bruta do servidor sem envolver o seu dispositivo.

Como ler os códigos de status HTTP

O status HTTP é a primeira informação objetiva sobre a saúde de uma URL. Ele é um número de três dígitos devolvido pelo servidor antes mesmo de qualquer conteúdo, e a família do primeiro dígito já diz muita coisa:

• 200 OK — o recurso existe e foi entregue. É o resultado esperado para uma página de destino de campanha.
• 301 Moved Permanently — o endereço mudou de forma definitiva. Buscadores transferem a autoridade do endereço antigo para o novo. É o redirecionamento correto para migrações de domínio.
• 302 / 307 Found ou Temporary Redirect — desvio temporário. Útil para manutenção ou testes A/B, mas ruim para SEO se ficar permanente por engano.
• 308 Permanent Redirect — como o 301, porém preserva o método HTTP original.
• 403 Forbidden — o servidor entendeu o pedido e recusou. Costuma indicar bloqueio por firewall, WAF ou restrição geográfica.
• 404 Not Found — a página não existe. O clássico link quebrado, principal causa de desperdício de verba em anúncios.
• 410 Gone — a página existia e foi removida deliberadamente.
• 429 Too Many Requests — limite de taxa. O destino está protegido contra automação; não necessariamente um problema para usuários reais.
• 500 / 502 / 503 — falhas do lado do servidor. Se persistirem por mais de alguns minutos, pause a campanha até a normalização.

Cadeias de redirecionamento: quando são normais e quando são suspeitas

Um salto de redirecionamento é normal e esperado. Um encurtador de links, por definição, gera pelo menos um. Uma migração de HTTP para HTTPS soma outro, e a normalização de www pode somar um terceiro. O problema começa a partir de quatro ou cinco saltos: cada salto adiciona latência de rede — tipicamente de 100 a 400 milissegundos em conexões móveis — e multiplica os pontos de falha. Se um único intermediário sair do ar, toda a cadeia quebra.

Cadeias longas também são a assinatura clássica de cloaking: uma técnica em que o operador mostra uma página inofensiva para robôs de verificação e outra, maliciosa, para visitantes reais. Quando você observa que um link passa por três domínios desconhecidos antes de chegar ao destino, trate isso como sinal de alerta, especialmente se algum dos intermediários carregar parâmetros que parecem identificadores de afiliado ou de tracking agressivo.

Os sinais de risco que analisamos

Além do status e da cadeia, aplicamos um conjunto de heurísticas públicas e bem documentadas na literatura de segurança de rede. Nenhuma delas prova malícia isoladamente, mas a combinação de duas ou mais merece atenção:

1. Ausência de HTTPS. Certificados TLS gratuitos existem desde 2015 com o Let's Encrypt. Um destino comercial sem HTTPS em 2026 indica abandono ou improviso.
2. Host que é um endereço IP. Páginas legítimas usam nomes de domínio; IPs expostos costumam ser servidores temporários de campanhas abusivas.
3. Excesso de subdomínios. Estruturas como login.banco.seguro.exemplo-terceiro.com exploram a leitura da esquerda para a direita para simular uma marca conhecida.
4. TLDs de baixo custo historicamente associadas a abuso em massa, além de extensões ambíguas que colidem com nomes de arquivo.
5. Palavras de engenharia social na URL, como verificação de conta, confirmação de identidade ou brinde gratuito.
6. Encurtador apontando para outro encurtador, técnica usada para escapar de listas de bloqueio.

Metadados: o que o link vai mostrar quando compartilhado

A prévia que aparece no WhatsApp, LinkedIn, Slack ou X não é gerada por essas plataformas do zero: elas leem as tags Open Graph do HTML de destino. Se og:title, og:description e og:image estiverem ausentes ou mal preenchidas, seu link vai aparecer como um retângulo cinza com uma URL crua — e a taxa de clique despenca. Nossa análise extrai exatamente essas tags, com fallback para <title>, meta description e Twitter Cards, para que você veja a prévia real antes de publicar.

Vale lembrar que as redes sociais fazem cache agressivo dessa prévia. Se você corrigir a imagem depois de já ter compartilhado o link, o card antigo pode continuar aparecendo por dias. Use o depurador de compartilhamento da própria plataforma para forçar a releitura, ou gere um novo link curto para começar do zero.

Rotina recomendada antes de qualquer campanha

Adote uma checagem em quatro passos: verifique a URL final aqui, confirme que o status é 200, confira se a prévia de compartilhamento está correta e só então gere o link curto com parâmetros UTM. Materiais impressos merecem cuidado extra, porque um QR Code errado em cinco mil folhetos não tem conserto — a não ser que você tenha usado um link curto dinâmico, que permite trocar o destino sem reimprimir nada.

Limitações honestas desta análise

Nenhuma verificação automática substitui julgamento humano. Nossa ferramenta observa o que o servidor responde a um cliente sem sessão, no momento da consulta. Uma página pode ser inofensiva agora e comprometida amanhã; pode entregar conteúdo diferente conforme o país de origem do pedido; ou pode esconder o comportamento malicioso atrás de JavaScript que só executa após interação do usuário. Trate o resultado como um filtro rápido de sanidade, não como um selo de garantia. Em caso de dúvida sobre um link recebido por mensagem, o mais seguro continua sendo digitar o endereço oficial da empresa manualmente no navegador.

Perguntas frequentes