Saltar para o conteúdo
Observatório DCAB Consulting

Observatório de Exposição Digital

O risco que o seu domínio representa, para a organização e para os outros

Análise passiva, só com informação pública. Não fazemos testes intrusivos nem acedemos aos seus sistemas. Os documentos que analisa não saem do seu computador.

Pode colar um endereço de site ou de email.

Três formas de começar

Analisar o meu domínioEmail, DNS e site, em 10 a 30 segundos. Sem criar conta. Verificar o meu emailEm que fugas de dados aparece o seu endereço. Recebe por email uma ligação para ver o resultado. Analisar um documentoQue dados pessoais e informação sensível leva, antes de o enviar.
Administração
Que proteção o domínio dá a clientes e parceiros, num nível de 0 a 5.
CISO
Falhas com evidência, prioridade e esforço, exportáveis em OSCAL.
DPO
Endereços em fugas de dados e documentos com dados pessoais.
Conformidade
Cada resultado ligado ao DL 125/2025, ao QNRCS e ao RGPD.

Fugas de dados

Verificar se o seu endereço de email aparece em fugas de dados

Enviamos uma ligação para a caixa indicada. Só quem a abrir vê em que fugas aparece, que dados ficaram expostos e o que fazer. O resultado não é guardado.

Todas as caixas de uma organização

O domínio tem de ser verificado pela DCAB no Have I Been Pwned, com um registo DNS. O relatório do domínio só é mostrado aos contactos que a organização indicar. Pedir a verificação do domínio.

Dados de fugas: Have I Been Pwned, licença CC BY 4.0.

O Have I Been Pwned é operado a partir da Austrália, país sem decisão de adequação da Comissão Europeia, e aloja os dados nos EUA. Sem essa decisão nem garantias adequadas, a proteção do endereço pode ser menor do que na União Europeia (RGPD, art. 49.º, n.º 1, al. a)).

Informação sensível

O que um documento revela, antes de o enviar

Cole um texto ou escolha um ficheiro. O detetor mostra os dados pessoais, credenciais e outra informação sensível que encontrar e propõe um nível: Público, Interno, Confidencial ou Restrito.

Processamento local: o texto e os ficheiros não saem deste computador. Pode desligar a rede antes de analisar; para ler um PDF, desligue-a depois de abrir a janela de escolha do ficheiro, que carrega o leitor de PDF deste site.

Como confirmar que nada é enviado
  1. Abra as ferramentas de programador do navegador (no Mac, Cmd + Option + I; no Windows e no Linux, F12), separador Rede (Network), e limpe a lista.
  2. Analise um texto ou um ficheiro. Não aparece nenhum pedido. O próprio detetor conta os pedidos feitos durante a análise e mostra o número no resultado.
  3. O código pode ser lido em detetor-motor.js e detetor.js. Para confirmar que é o mesmo que corre nesta página, compare a impressão digital SHA-256 com a dos ficheiros publicados: detetor-motor.js: cc36e1148eaedbfdbba804544b99dc92a9f9199a7500247b9a5b717a2764472d detetor.js: 762a23f1182cbd194c225c9983b4413eae0e458e5bd2ff65d18942ea80549b08 vendor/pdf.min.mjs: 0d29c4871eff0b72f3896825f2673ddf7dfbccf815a7095a5d14f5aa68fab0e5 vendor/pdf.worker.min.mjs: 7fc442c268d107d656755252cf38c422a88e825b7f0caaac6a5f58364dff4179 curl -s https://observatorio.dcabconsulting.com/detetor-motor.js | shasum -a 256 No Linux, use sha256sum; no Windows, certutil -hashfile detetor-motor.js SHA256. O navegador também confirma o valor dos dois ficheiros do detetor antes de os executar (atributo integrity). O leitor de PDF não tem esta verificação automática: compare o valor acima com o do ficheiro publicado.

Lê texto, CSV, Word, Excel, PowerPoint, OpenDocument e PDF com texto (com o pdf.js da Mozilla, alojado neste site), até 15 MB. NIF, NISS, Cartão de Cidadão, IBAN e cartões são confirmados pelo dígito de controlo.

Decreto-Lei n.º 125/2025

A NIS2 aplica-se à minha organização?

Quatro perguntas dão uma indicação preliminar com base nos artigos 3.º, 6.º e 7.º do Decreto-Lei n.º 125/2025. A qualificação definitiva cabe ao Centro Nacional de Cibersegurança, depois da autoidentificação na plataforma do CNCS. As entidades já em atividade tinham 60 dias a contar da disponibilização da plataforma MyCiber, a 23 de junho de 2026 (art. 8.º, n.º 1). O coordenador do CNCS indicou que o prazo se conta em dias úteis (ECO, 24-06-2026); contado assim, terminou a 15 de setembro de 2026. Quem ainda não se identificou deve fazê-lo de imediato. O Banco de Portugal, a CMVM e a ASF estão fora do âmbito (art. 3.º, n.º 3, al. f)).

Presta algum destes serviços?

Metodologia e privacidade

Só informação pública

Lemos o que qualquer servidor de email ou navegador já lê: registos DNS, certificado, cabeçalhos e os ficheiros públicos do site. Não testamos portas, não procuramos vulnerabilidades e não tentamos entrar em nenhum sistema. Cada resultado é uma fotografia do momento em que foi obtido.

Evidência verificável

Cada resultado guarda a consulta feita, a resposta obtida, a data e a hora, e um código SHA-256. O documento OSCAL permite importar tudo numa plataforma de conformidade, como a AnkoraOne, e repetir a verificação.

Base nacional

Os controlos remetem para o artigo 27.º do Decreto-Lei n.º 125/2025, para o Quadro Nacional de Referência para a Cibersegurança (2.ª versão), para as medidas mínimas do Regulamento n.º 756/2026, para o RGPD e para a Lei n.º 58/2019, com correspondência para a ISO/IEC 27001. Cada falha indica o tipo de incidente que torna possível, segundo a taxonomia usada pelo CERT.PT. As versões e as datas de cada referência estão em Referências e versão.

O que guardamos e o que não guardamos

  • Resultado de cada domínio: seis horas, para responder mais depressa a pedidos repetidos.
  • Resumo do resultado de cada domínio (níveis de proteção e estado de cada verificação): 12 meses.
  • Endereço de email da consulta de fugas: a ligação expira ao fim de 30 minutos e o endereço é apagado automaticamente nas 24 horas seguintes. Fica um registo de auditoria só com o domínio e a data, durante 90 dias.
  • Limites de utilização: um código calculado a partir do endereço IP e, na consulta de fugas, do endereço de email, com um valor aleatório que muda todos os dias. Depois de esse valor ser apagado (2 dias), deixa de ser possível associar o código ao endereço.
  • Contadores de utilização: quantas vezes, por dia, cada ação acontece (visitas, análises, exemplos vistos, pedidos de plano). Só o nome da ação e o total do dia, sem cookies, sem identificadores e sem o domínio analisado. O limite de utilização destes contadores usa o código diário descrito acima.
  • Nunca guardamos o resultado das consultas de fugas, os textos e ficheiros do detetor nem o endereço IP.

Utilização aceitável

  • Pode analisar o domínio da sua organização e, para avaliar a cadeia de abastecimento, os de fornecedores e parceiros.
  • O resultado é uma fotografia pública e pontual. Não o apresente como auditoria, certificação ou prova de incidente, nem o use para pressionar ou fazer alegações sobre terceiros.
  • Não automatize pedidos nem tente contornar os limites.
  • O titular de um domínio pode pedir que não seja analisado: pedir a exclusão do domínio.

Problemas de segurança

Se encontrar uma falha no Observatório, use o contacto indicado no security.txt. Analisamos cada comunicação e não divulgamos a falha antes de estar corrigida.