Jak sprawdzić, czy strona internetowa jest prawdziwa? 7 kroków przed zakupem

Jak sprawdzić, czy strona internetowa jest prawdziwa?

Żaden pojedynczy znak nie rozstrzyga, czy strona jest prawdziwa, dlatego sprawdzasz kilka niezależnych rzeczy i patrzysz, czy się ze sobą zgadzają. Domena, firma za sklepem, lista ostrzeżeń i sama oferta mówią każda coś innego. Oszust zwykle potrafi podrobić jedną z nich, rzadko wszystkie naraz.

Poniżej kolejność, którą stosujemy sami, gdy ktoś prosi nas o ocenę podejrzanej strony. Całość zajmuje około pięciu minut i nie wymaga żadnych płatnych narzędzi.

1. 01
   Przeczytaj adres znak po znaku. Zwróć uwagę na literówki, dodatkowe myślniki i nietypowe końcówki. Fałszywe strony często różnią się od prawdziwej marki jednym znakiem.
2. 02
   Sprawdź, kiedy zarejestrowano domenę. Sklep, który „działa od lat", a domenę ma od tygodnia, jest sygnałem alarmowym.
3. 03
   Znajdź dane firmy w regulaminie i porównaj je z rejestrem. Nazwa, siedziba i NIP powinny zgadzać się z CEIDG lub KRS.
4. 04
   Sprawdź listy ostrzeżeń. Lista CERT Polska i narzędzie Google Safe Browsing zajmują po minucie.
5. 05
   Oceń ofertę chłodno. Ceny wyraźnie niższe niż wszędzie, odliczanie czasu i wyskakujące okna to techniki nacisku, a nie okazje.
6. 06
   Zobacz, jak wyglądają zwroty. Brak polityki zwrotów albo adres zwrotny w odległym kraju to powód, żeby odpuścić.
7. 07
   Płać metodą, która daje Ci ochronę. Karta pozwala w razie oszustwa zwrócić się do banku o odzyskanie pieniędzy.

Tekst dotyczy zarówno sklepów, jak i zwykłych stron, na których ktoś prosi Cię o dane, logowanie albo pieniądze. Przy sklepie ryzyko jest największe, bo od razu wchodzi w grę płatność. Przy innych stronach najczęstszym scenariuszem jest phishing, czyli podszywanie się pod bank, urząd albo kuriera, by wyłudzić dane logowania.

Czy kłódka i HTTPS oznaczają, że strona jest bezpieczna?

Nie. Kłódka oznacza, że połączenie z tą konkretną domeną jest szyfrowane, a nie że za domeną stoi uczciwa firma. To częsty mit, który oszuści wykorzystują.

Powód jest prosty. Certyfikaty potwierdzające domenę są dziś dostępne dla każdego. Organizacja Let's Encrypt, prowadzona przez ISRG, wydaje je za darmo: według jej strony każdy, kto jest właścicielem nazwy domeny, może otrzymać zaufany certyfikat bez opłat. To dobra wiadomość dla uczciwych właścicieli stron, bo HTTPS przestał być wydatkiem. Jednocześnie oznacza, że fałszywy sklep ma kłódkę w tej samej cenie co prawdziwy.

UOKiK ostrzega przed tym samym z drugiej strony. W komunikacie z 3 lipca 2025 roku o fałszywych sklepach urząd zaznaczył, że końcówki .com i .pl również nie gwarantują bezpiecznej transakcji. Adres kończący się popularną domeną nie jest więc rekomendacją.

Jeśli sam prowadzisz stronę, certyfikat powinien być po Twojej stronie bez dodatkowych kosztów. O tym, co faktycznie wchodzi w roczny koszt strony, piszemy w tekście ile kosztuje utrzymanie strony internetowej.

Jak sprawdzić domenę i datę jej rejestracji?

Datę rejestracji domeny .pl sprawdzisz w publicznej bazie WHOIS prowadzonej przez DNS Polska, a pole „created" pokazuje, kiedy domena powstała. Dla innych końcówek działają analogiczne bazy WHOIS lub RDAP, wyszukiwane po nazwie domeny.

Co z tego wynika? Wiek domeny nie jest wyrokiem, ale pomaga ocenić historię, którą opowiada strona. Sklep z napisem „od 2009 roku na rynku" i domeną zarejestrowaną przed miesiącem to sprzeczność, którą trzeba wyjaśnić. Z drugiej strony młoda domena nie musi oznaczać oszustwa: nowe firmy też powstają. Liczy się zgodność z tym, co strona twierdzi o sobie.

Dane właściciela domeny często bywają ograniczone ze względu na ochronę danych osobowych, więc nie traktuj braku nazwiska w WHOIS jako sygnału. Sygnałem jest za to rozbieżność między tym, co widzisz, a tym, co strona deklaruje.

Jak sprawdzić, kto naprawdę prowadzi sklep?

Prawdziwy sprzedawca podaje w regulaminie pełną nazwę, siedzibę i numer NIP, a Ty możesz je sprawdzić w publicznym rejestrze. Jednoosobowe firmy znajdziesz w CEIDG, spółki w KRS. To kilkuminutowe sprawdzenie, które od razu odsiewa wiele podróbek.

Zrób to w trzech ruchach. Po pierwsze, przeczytaj stopkę i regulamin. UOKiK wśród cech fałszywych sklepów wymienia niepełne dane kontaktowe, brak adresu siedziby i niejasny regulamin. Po drugie, wpisz NIP lub nazwę w rejestrze i porównaj: czy firma istnieje, czy adres jest ten sam, czy zakres działalności ma sens. Po trzecie, sprawdź adres do zwrotów. Urząd wskazuje adres zwrotny w kraju azjatyckim jako typowy sygnał ostrzegawczy, bo zwrot do takiego sprzedawcy jest kosztowny i niepewny.

Osobnym wątkiem jest dropshipping, czyli model, w którym strona przyjmuje zamówienia, a towar wysyła ktoś inny. UOKiK zwraca uwagę, że wtedy operator strony nie zawsze jest sprzedawcą, a sprzedawca powinien być jasno wskazany. Jeśli nie możesz ustalić, z kim zawierasz umowę, to jest odpowiedź.

Na pewno pomoże Ci też znajomość własnych praw. Zgodnie z ustawą o prawach konsumenta z 30 maja 2014 roku masz 14 dni na odstąpienie od umowy zawartej na odległość, z pewnymi wyjątkami, a sprzedawca ma obowiązek poinformować Cię o tym prawie. Przy sporze z konkretnym sprzedawcą warto skonsultować się z prawnikiem lub rzecznikiem konsumentów. Przepisy dotyczące regulaminów omawiamy w osobnym wpisie: jak napisać regulamin sklepu internetowego.

Po czym poznać fałszywy sklep internetowy?

Fałszywy sklep zdradza się zwykle kilkoma cechami naraz: niezwykle niską ceną, presją czasu, niepełnymi danymi firmy i brakiem polityki zwrotów. Pojedyncza cecha o niczym nie przesądza, ale trzy lub cztery razem to wyraźny sygnał.

UOKiK w komunikacie o zakupach wysokiego ryzyka z 3 lipca 2025 roku wymienia między innymi:

• reklamy w mediach społecznościowych dopasowane do zainteresowań, często z hasłem likwidacji sklepu albo wsparcia „nowej, lokalnej marki",
• nazwy brzmiące po polsku, złożone z imienia, nazwiska lub miasta i dopisku w rodzaju „moda" czy „butik",
• nazwę znanej marki z literówką albo dodatkowym znakiem,
• błędy językowe na stronie,
• techniki nacisku, takie jak liczniki odliczające czas i wyskakujące okna,
• bardzo duże rabaty, zwłaszcza bez informacji o najniższej cenie z 30 dni przed obniżką,
• brak danych kontaktowych i adresu siedziby oraz niejasny regulamin.

Brak negatywnych opinii niczego nie dowodzi. Oszuści działają krótko, a część zamówień może wisieć tygodniami, zanim ktoś zorientuje się, że paczka nie dojdzie. Dlatego opinie czytaj ostrożnie i szukaj ich poza samą stroną sklepu.

Inaczej wygląda sprawa, gdy strona nie sprzedaje, tylko podszywa się pod bank, urząd albo firmę kurierską, żeby wyłudzić dane logowania. CERT Polska opisuje, że na listę trafiają właśnie domeny, które wprowadzają użytkowników w błąd i wyłudzają od nich dane. Najczęściej trafiasz na taką stronę z wiadomości SMS lub e-mail z pilnym wezwaniem do działania. Zasada obronna jest prosta: nie klikaj linku z wiadomości, tylko wpisz znany Ci adres ręcznie albo użyj aplikacji instytucji. Jeśli wiadomość wygląda podejrzanie, przekaż ją do analizy zamiast jej odpowiadać.

Skala problemu jest duża. CERT Polska, zespół działający w NASK, prowadzi Listę Ostrzeżeń przed niebezpiecznymi stronami. Według jego miesięcznych podsumowań do końca lipca 2026 roku wpisano na nią 158,3 tys. domen, z czego 29,6 tys. w samym lipcu. Zastrzeżenie: domena po sześciu miesiącach blokady, jeśli nadal zawiera niebezpieczne treści, jest wpisywana ponownie jako nowy wpis, więc liczby narastające mogą zawierać powtórki.

Gdzie sprawdzić, czy strona jest na liście ostrzeżeń?

Najszybciej sprawdzisz to w serwisie lista.cert.pl oraz w narzędziu Site Status w raporcie przejrzystości Google Safe Browsing. Pierwsze obejmuje domeny wyłudzające dane, drugie pokazuje, czy Google uznaje stronę za niebezpieczną.

Lista CERT Polska działa nieprzerwanie od marca 2020 roku. Na podstawie porozumienia z Prezesem UKE, Ministerstwem Cyfryzacji i NASK korzystają z niej między innymi Orange Polska, Plus, Play i T-Mobile, a także usługi DNS Quad9 i NextDNS. Oznacza to, że część użytkowników jest przed takimi stronami chroniona automatycznie, jeszcze zanim zobaczy ostrzeżenie. Serwis lista.cert.pl pozwala sprawdzić, czy Twój operator korzysta z tej listy. Jeśli nie, możesz dodać plik z listą w formacie adblock do rozszerzenia takiego jak uBlock Origin.

Narzędzie Google działa inaczej: wpisujesz adres, a ono zwraca najnowszy wynik analizy tej strony przez Safe Browsing bez konieczności jej odwiedzania. To ważne, bo nie musisz ryzykować wejścia na podejrzaną stronę, żeby ją sprawdzić.

Brak wpisu na liście nie jest certyfikatem uczciwości. Nowa fałszywa strona może działać przez kilka dni, zanim trafi na jakąkolwiek listę, dlatego te narzędzia uzupełniają pozostałe kroki, a nie je zastępują.

Co zrobić, gdy dane lub pieniądze już trafiły do oszustów?

Działaj od razu: skontaktuj się z bankiem, zgłoś sprawę policji i CERT Polska, a w razie wpisania haseł zmień je tam, gdzie były używane. Im szybciej bank dowie się o oszustwie, tym większa szansa na odzyskanie środków.

UOKiK radzi w takiej sytuacji zgłosić sprawę policji oraz do CERT przez formularz incydent.cert.pl. Jeśli płaciłeś kartą, warto skontaktować się z bankiem w sprawie procedury chargeback, czyli zwrotu transakcji. Przy kłopotach z pośrednikiem z innego kraju Unii pomoże Europejskie Centrum Konsumenckie. Pomoc oferują też rzecznicy konsumentów i infolinia UOKiK.

Podejrzaną stronę możesz zgłosić CERT Polska przez formularz incydent.cert.pl/phishing. Podejrzane wiadomości SMS przekaż bezpłatnie na numer 8080. To zgłoszenia, które trafiają do analizy, a potwierdzone domeny są blokowane u operatorów.

W praktyce przydaje się krótka lista czynności:

• zmień hasło do konta, którego dane podałeś, a jeśli używałeś go gdzie indziej, zmień je także tam,
• włącz weryfikację dwuetapową, jeśli usługa ją oferuje,
• zachowaj zrzuty ekranu, potwierdzenia płatności i korespondencję,
• zgłoś sprawę w banku jeszcze tego samego dnia.

Jak sprawić, żeby Twoja strona była wiarygodna dla klientów?

Wiarygodność strony to suma drobnych, sprawdzalnych szczegółów: pełnych danych firmy, własnej domeny, jasnych zasad i śladu realnej pracy. Te same kroki, które pomagają kupującemu odróżnić podróbkę, układają się w listę tego, co powinna mieć Twoja strona.

Zrób to tak, jakby ktoś miał Cię sprawdzić według powyższej listy. Podaj w stopce pełną nazwę firmy, adres siedziby i NIP. Używaj poczty w swojej domenie zamiast darmowej skrzynki. Opublikuj regulamin, politykę prywatności i zasady zwrotów w miejscu, które łatwo znaleźć. Utrzymuj aktualny certyfikat i regularnie aktualizuj stronę, bo przeterminowane oprogramowanie to częsta droga do przejęcia witryny. Pokaż prawdziwe realizacje, zdjęcia i liczby, które można zweryfikować. Szczegółową listę elementów, które powinna mieć dobra strona firmowa, znajdziesz w tekście co powinna zawierać strona internetowa.

Ten sam mechanizm zaufania da się wbudować w narzędzie. Przykładem jest aplikacja pomiarowa, którą zrobiliśmy dla firmy z Kamiennej Góry.

Dobrze zbudowana strona to także kwestia techniczna: szybka, bez błędów serwera, z poprawnie podpiętą domeną. Jak działają domena i hosting, wyjaśniamy w tekście domena i hosting, co to jest, a ogólne zasady zakładania sklepu zebraliśmy w poradniku jak założyć sklep internetowy. Czym zajmujemy się na co dzień, opisujemy w ofercie.