Risco que representa para os outros
Clientes, fornecedores e cidadãos: emails falsificados em seu nome, ligações sem cifra, DNS falsificável.
/ 5
Observatório de Exposição Digital
O risco que o seu domínio representa, para a organização e para os outros
Avaliamos o email, o DNS e o site de um domínio apenas com informação pública, e ligamos cada resultado ao Decreto-Lei n.º 125/2025, ao QNRCS e ao RGPD. Sem registo e sem acesso aos seus sistemas.
Pode colar um endereço de site ou de email.
Resultado
Exemplo ilustrativo com um domínio fictício e dados simulados.
Risco para a própria organização
O que um atacante encontra exposto: configuração do servidor, cabeçalhos, cookies, versões de software.
/ 5
Enquadramento legal e normativo
Cada controlo agrupa verificações e liga-as às obrigações que ajudam a demonstrar. As referências ao Decreto-Lei n.º 125/2025 foram confirmadas no texto publicado. Os controlos do QNRCS são os da 2.ª versão e as medidas mínimas são as dos Anexos III e IV do Regulamento n.º 756/2026, ambos confirmados no texto publicado. A escolha do controlo e da medida para cada verificação é nossa.
| Controlo | Estado | Índice | Referências |
|---|
Avaliação automática e passiva, feita só com informação pública. Não substitui uma auditoria nem constitui parecer jurídico.
Fugas de dados
Verificar se o seu endereço de email aparece em fugas de dados
Indique o seu endereço. Enviamos uma ligação para essa caixa e só quem a abrir vê o resultado: em que fugas aparece, que dados ficaram expostos e o que fazer. Não guardamos o resultado.
Para ver todas as caixas expostas de uma organização, o domínio tem de ser verificado pela DCAB junto do Have I Been Pwned, com um registo DNS. O relatório do domínio só é mostrado aos contactos que a organização indicar. Pedir a verificação do domínio.
Dados de fugas: Have I Been Pwned, licença CC BY 4.0.
Informação sensível
O que um documento revela, antes de o enviar
Cole um texto ou escolha um ficheiro. O detetor procura dados pessoais, categorias especiais do RGPD, dados financeiros, credenciais, sinais de informação privilegiada e marcas de classificação, e propõe um nível: Público, Interno, Confidencial ou Restrito.
A análise é feita só neste navegador. O texto e os ficheiros não são enviados para nenhum servidor nem guardados, e pode desligar a rede antes de analisar.
Lê texto, CSV, Word, Excel, PowerPoint e OpenDocument, até 15 MB. Os NIF, NISS, números do Cartão de Cidadão, IBAN e cartões são confirmados pelo dígito de controlo.
Decreto-Lei n.º 125/2025
A NIS2 aplica-se à minha organização?
Quatro perguntas dão uma indicação preliminar com base nos artigos 3.º, 6.º e 7.º do Decreto-Lei n.º 125/2025. A qualificação definitiva é feita pelo Centro Nacional de Cibersegurança depois da autoidentificação na sua plataforma, que deve ser feita até 60 dias após a plataforma estar disponível (art. 8.º).
Como funciona
Só informação pública
Lemos o que qualquer servidor de email ou navegador já lê: registos DNS, certificado, cabeçalhos e os ficheiros públicos do site. Não testamos portas, não procuramos vulnerabilidades e não tentamos entrar em nenhum sistema.
Evidência verificável
Cada resultado guarda a consulta feita, a resposta obtida, a data e a hora, e um código SHA-256. O documento OSCAL permite importar tudo numa plataforma de conformidade, como a AnkoraOne, e repetir a verificação.
Base nacional
Os controlos remetem para o artigo 27.º do Decreto-Lei n.º 125/2025, para o Quadro Nacional de Referência para a Cibersegurança (2.ª versão), para as medidas mínimas do Regulamento n.º 756/2026, para o RGPD e para a Lei n.º 58/2019, com correspondência para a ISO/IEC 27001. Cada falha indica o tipo de incidente que torna possível, segundo a taxonomia usada pelo CERT.PT.
Sem dados pessoais
Não pedimos registo nem guardamos o seu endereço IP: só um código para limitar abusos, apagado ao fim de duas horas. Os resultados ficam em cache durante seis horas e servem estatísticas agregadas, apagadas ao fim de 12 meses. O titular de um domínio pode pedir que não seja analisado, através do contacto da DCAB. Na consulta de fugas, o endereço de email fica guardado só até a ligação expirar (30 minutos) e o resultado não é guardado. O detetor de informação sensível corre só no seu navegador: o texto e os ficheiros não saem do seu computador.