Negozio affidabile?

• Connessione sicura — il sito usa HTTPS con un certificato valido.
• Età del dominio — i siti truffa vivono poche settimane; un dominio registrato da anni è un buon segnale.
• Partita IVA — un negozio italiano deve esporla, e un truffatore la scrive lo stesso, inventata o copiata dal piè di pagina di un’azienda vera. Per questo non ci basta che ci sia: la verifichiamo. Se l’ultima cifra non torna con le altre dieci, il numero non può esistere; se torna, lo chiediamo al registro europeo delle partite IVA (VIES) e ti scriviamo se risulta attiva, a chi è intestata e se quel nome compare nel sito: è la società con cui fai il contratto. Se in home page non c’è, la cerchiamo noi nelle condizioni di vendita, nelle note legali o nei contatti a cui la home rimanda, e ti scriviamo dove l’abbiamo trovata. Se chi vende è una società di un altro paese europeo, la partita IVA italiana non gliela chiediamo: la leggiamo anche nella forma del suo paese («DE 260543043», «Partita IVA comunitaria»), e se non la scrive ti diciamo con quale società fai il contratto, dove ha sede e in quale registro ritrovarla.
• Contatti reali — un’email o un telefono che si possono davvero usare. Se in home page non ci sono, apriamo noi la pagina «Contatti» o «Assistenza» a cui la home rimanda, anche quando sta a un indirizzo vicino come contattaci.negozio.it, e ti diamo il recapito scrivendo in quale pagina sta. Non contano come recapito la partita IVA, la PEC — è la casella legale dell’azienda: che ci sia è un buon segno, ma non è il servizio clienti — e le caselle d’ufficio come privacy@, dpo@ o noreply@; la pagina privacy non la apriamo nemmeno, perché il titolare del trattamento non è chi risponde del tuo ordine. info@, ordini@, assistenza@ e servizioclienti@ restano recapiti buoni. Un recapito ospitato su un altro dominio te lo segnaliamo, e l’indirizzo d’esempio di un modulo («nome.cognome@mail.com») non lo contiamo.
• Pagine legali — privacy, termini e condizioni, resi e rimborsi, spedizioni. Contiamo i rimandi a quelle pagine, non le frasi di vendita: servono almeno due famiglie su quattro, e ti diciamo quali abbiamo trovato e quali mancano. Se il piè di pagina lo costruisce il tuo browser e a noi arriva vuoto, non ti diciamo che mancano: ti diciamo che non le abbiamo potute vedere. Vale anche per la partita IVA e i contatti che stanno lì: quei punti non li diamo finché non li hai visti tu, e quando il numero è basso solo per questo, accanto te lo scriviamo.
• Metodi di pagamento — chi accetta solo bonifico anticipato toglie ogni protezione all’acquirente. Cerchiamo carte, PayPal, Klarna, Apple Pay, Google Pay e Stripe, e ti diciamo quali abbiamo visto, per nome. Sono loghi dichiarati dal negozio, non una prova che al momento di pagare ti vengano offerti: se la pagina scrive che si paga solo con bonifico, vince quella frase.
• Recensioni indipendenti — il negozio si fa giudicare da una piattaforma terza (Trustpilot, Feedaty, Trovaprezzi e simili)? E quando in home page c’è il riquadro Trustpilot, il punteggio te lo leggiamo: quanto vale, su quante recensioni, quante a una stella. Le stelline che un sito pubblica di sé, senza una piattaforma verificabile dietro, non contano.
• Sconti sospetti — una home page piena di -70% e -80% è il richiamo classico delle truffe. Leggiamo i ribassi scritti come -70% e quelli scritti a parole, «sconti fino al 70%» o «70% di sconto», e togliamo dieci punti da tre ribassi dal 70% in su; i saldi al 50% non costano niente. Contiamo i prodotti, non le ripetizioni: la scheda che ripete il proprio cartellino è un prodotto, non due, e tutti gli annunci di una pagina valgono un ribasso solo — «sconti fino al 75%» è un negozio in saldo, non un tappeto di prodotti scontati.

Sulle recensioni la precisazione che conta: il punteggio lo leggiamo solo dai negozi che ospitano il riquadro Trustpilot, e controlliamo che la scheda sia intestata proprio a quel dominio — copiare l’identificativo di un venditore stimato costerebbe dieci secondi, e quando la scheda è di un altro ti diciamo di chi è. Alcuni negozi lasciano che sia il browser a costruire il riquadro dopo, e allora nel codice della pagina l’identificativo non c’è: te lo diciamo. La scheda pubblica di Trustpilot alle letture automatiche risponde «vietato», quindi un negozio senza riquadro resta senza punteggio letto, e quel controllo esce dal totale: «non lo sappiamo» non passa mai per «non ha recensioni».

Il punteggio riassume i segnali, e per ogni controllo vedi che cosa abbiamo trovato. Quando un controllo non riesce, il punteggio si calcola sugli altri, ma non ti diciamo mai «affidabile» appoggiandoci a un controllo che non abbiamo fatto.

Un punteggio alto, da solo, non basta. Pagine legali, loghi delle carte e certificato HTTPS sono proprio le cose che una vetrina fraudolenta mette in ordine per prime. Per questo nove rilievi vietano da soli la parola «affidabile», per quanto alto sia il numero: la connessione non sicura; il dominio registrato da meno di sei mesi; il bonifico anticipato dichiarato come unico pagamento; il tappeto di ribassi dal 70% in su; la home page da cui non si arriva a nessuna pagina legale obbligatoria; la partita IVA che non può esistere o che il registro europeo non dà per attiva; la partita IVA che non si trova da nessuna parte, né in home page né nelle pagine legali, quando il negozio non dice nemmeno con quale società fai il contratto; la partita IVA attiva ma intestata a una società che il sito non nomina da nessuna parte, che è la forma della partita IVA copiata; e il nome del sito che imita un marchio famoso senza esserlo, come «nike-outlet-italia.com» o «monclerr.it» — in quel caso ti diciamo qual è il sito vero del marchio. Quando un rilievo scatta, il numero resta quello, ma accanto trovi scritto quale rilievo è e perché basta da solo — e lo trovi in cima al risultato, nel riquadro del giudizio, anche quando il numero è basso: il perché si legge nei primi dieci secondi, non in fondo all’elenco.

Se il negozio ha chiuso, te lo diciamo prima di tutto il resto: quando la home page dichiara di aver cessato l’attività trovi quella frase in cima, e il giudizio è «non comprare qui» per quanto alto sia il punteggio. Un punteggio basso, invece, non è una condanna: anche un negozio nuovo e onesto ha un dominio giovane, e in quel caso non diciamo che è una truffa, diciamo che non possiamo chiamarlo affidabile. È un controllo dei segnali esteriori, non un giudizio sulle persone: usalo insieme al buon senso — prezzo troppo bello per essere vero, fretta di farti pagare.

Alcuni negozi, soprattutto i più grandi, respingono le visite automatiche con una protezione anti-bot. Non è un segnale di truffa, ma i controlli sulla pagina non si possono fare. Ricevi allora un controllo parziale: il certificato HTTPS, da quanto tempo il dominio è registrato e se riceve email, più l’elenco dei sei controlli che restano da fare a mano e di dove si guardano. Il controllo parziale non ha punteggio: su tre segnali che anche un truffatore attento può avere in ordine, un voto su 100 non reggerebbe. Ma se già dal solo dominio esce un rilievo che basta a fermarsi — il nome che imita un marchio, un dominio registrato da poche settimane — te lo scriviamo in cima, anche senza pagina. E un controllo parziale non te lo facciamo pagare: il credito torna indietro da solo.

Se a fermarci è il certificato, te lo diciamo per nome: scaduto, intestato a un altro nome, revocato o firmato dal negozio stesso sono fatti che vede anche il tuo browser. Quando invece non riusciamo a risalire a chi l’ha emesso, può dipendere da noi, perché il nostro elenco di autorità riconosciute è più corto di quello del tuo browser: te lo scriviamo, e la prova che vale è aprire il sito nel browser — se non compare nessun avviso rosso, il certificato è a posto.

C’è un caso che da fuori sembra il contrario: il sito risponde, ma la pagina che riceviamo non è quella che vedi tu — la costruisce JavaScript nel browser, o al suo posto arriva una pagina di errore. Lì il punteggio te lo diamo, ma i controlli che si fanno sul testo della pagina escono come non verificati, in cima al risultato ti diciamo quali, e finché ne manca uno non ti diciamo «affidabile».

È il caso più frequente: il link che gira in un annuncio o in una chat è quasi sempre quello di un prodotto. Non serve che tu tolga niente: gli otto controlli riguardano il negozio, quindi andiamo noi alla sua home page — anche quando la vetrina italiana sta sotto un indirizzo suo, come ikea.com/it/it/ o apple.com/it/, o quando il dominio nudo porta altrove, come unieuro.it a /online/. In cima al risultato trovi tutti e due gli indirizzi, quello che hai incollato e quello che abbiamo esaminato. Guarda il secondo: se il tuo link porta su un altro dominio, la prima riga comincia con «Attenzione» e li nomina tutti e due. E se la pagina che hai incollato non esiste più, il negozio lo controlliamo lo stesso, e il link morto te lo segnaliamo come rilievo.

Un annuncio su Facebook Marketplace o Subito, un profilo su Instagram, un venditore su Amazon, eBay, Temu, AliExpress, Wish, Etsy, Vinted, Back Market o ManoMano, anche quando il link è quello accorciato che l’app condivide in chat (amzn.eu, temu.to): lì dominio, certificato e pagine legali sono quelli della piattaforma, in ordine per chiunque pubblichi, compreso chi ha aperto il profilo ieri per truffarti. Un punteggio sarebbe il voto della piattaforma, non di chi incassa i tuoi soldi: per questo, su questi indirizzi, non ti diamo un punteggio.

Ricevi invece che cosa guardare sul venditore prima di pagare. Su un marketplace, dove una protezione acquirente esiste, il punto è non uscirne: chi ti propone di chiudere via email, su WhatsApp o con un bonifico diretto «per risparmiare le commissioni» ti chiede di rinunciarci. Sugli annunci fra privati, dove nessuno fa da garante, i tre strumenti da rifiutare sono il bonifico anticipato, la ricarica PostePay e PayPal «amici e parenti». Un sito che somiglia a un marketplace — finto-amazon.it, amazon.it.qualcosa.com — non lo è: lì gli otto controlli partono tutti, ed è esattamente il caso per cui questo strumento esiste.

Quanto costa?

La prova dal sito, senza account, è gratuita: controlli fino a cinque negozi all’ora e venti al giorno, e il risultato lo leggi lì; se li finisci, ti diciamo fra quanto si riaprono. Il controllo che resta nel tuo archivio costa 1 credito, e il primo è coperto dai crediti di benvenuto; se l’elaborazione non riesce il credito torna indietro. E torna indietro anche quando il controllo riesce ma esce parziale, cioè senza punteggio perché la pagina non si è lasciata leggere.

Perché l’età del dominio a volte non compare?

Di solito compare: la leggiamo dal servizio pubblico RDAP per i domini internazionali e direttamente dal registro .it per quelli italiani. Per alcune estensioni nazionali, come .de e .es, oggi non c’è una fonte pubblica: te lo diciamo, e il controllo esce dal punteggio. Ma l’età è il segnale più forte contro le truffe, quindi finché non l’abbiamo letta non scriviamo «affidabile» a un negozio che senza quei punti non ci arriverebbe.

Ho già pagato un negozio che sembra una truffa: che cosa faccio?

Quando il controllo trova qualcosa contro il negozio, sotto il giudizio trovi «Hai già pagato? Che cosa fare adesso», con le mosse nell’ordine in cui contano. Con un bonifico: chiama subito la banca e chiedi il richiamo — non è garantito, e ogni ora conta. Con la carta: contesta l’addebito per merce non ricevuta, e fai bloccare la carta se vedi addebiti che non hai fatto. Con PayPal: apri una contestazione, entro 180 giorni dal pagamento se hai pagato per beni e servizi. Poi salva le prove — pagina del prodotto, conferma d’ordine, ricevuta e questo controllo in PDF — e segnala il sito alla Polizia Postale su commissariatodips.it; la denuncia si fa in un ufficio di Polizia o dei Carabinieri. Sono le stesse regole per ogni negozio: non ti chiediamo niente e non parte nessuna segnalazione a nome tuo.

Il sito che controllo viene avvisato?

No. Facciamo una normale visita, come farebbe il tuo browser: la home page e, quando la home non li scrive, fino a due pagine di contatti per il recapito e fino a quattro pagine legali — condizioni di vendita, note legali, privacy, contatti — per la partita IVA e, se serve, altrettante per cercare il nome a cui il registro la intesta, sempre fra quelle a cui la home rimanda.