Para equipes de segurança · 10 minutos

Como os vereditos funcionam

O que a extensão lê quando uma pessoa pede uma verificação, o que o serviço devolve, onde a análise é executada e o que um veredito não pode dizer. Este guia descreve a versão 1.0.0, a que as lojas dos navegadores distribuem.

O que inicia uma verificação

Nada em uma mensagem ou em uma página é lido para gerar um veredito até que uma pessoa peça. Uma verificação começa quando ela clica em:

• O botão Analyze Current Email (analisar o e-mail atual) ou Analyze Current Page (analisar a página atual) no pop-up da barra de ferramentas. É um só botão; o rótulo dele muda conforme a aba em que ele está.
• O botão Re-analyze, abaixo de um resultado, que lê a mensagem ou a página de novo e substitui o resultado.
• Nos quatro hosts de e-mail listados abaixo, você também pode ver um botão PhishTriage, que a extensão adiciona à barra de ferramentas da mensagem aberta. Ele inicia a mesma verificação.

Cada clique nesses botões lê a mensagem ou a página como ela está naquele momento. Assim, quem abre outra mensagem e clica de novo recebe a verificação da nova.

O painel lateral também tem o próprio botão Analyze Current Page. Em algumas builds da versão 1.0.0, esse botão e o botão Try again podem reenviar o conteúdo de uma verificação anterior feita naquela aba, em vez de ler a mensagem que está aberta agora. Depois de passar para outra mensagem, use o botão do pop-up da barra de ferramentas, o botão PhishTriage na página ou o botão Re-analyze, que sempre leem a mensagem de novo.

Duas coisas funcionam sem clique. Nos quatro hosts de e-mail, o script da extensão é carregado em todas as páginas e observa o layout da página para manter o botão no lugar; ele não lê o conteúdo de nenhuma mensagem até alguém clicar. E a opção Background protection (proteção em segundo plano), se alguém a ativar, verifica cada site que a pessoa abre. A opção File protection (proteção de arquivos), que também vem desativada por padrão, é descrita em Tratamento de dados.

O que é enviado ao verificar um e-mail

O e-mail é lido como e-mail somente em quatro hosts: mail.google.com, outlook.office.com, outlook.office365.com e outlook.live.com. Neles, a extensão lê a mensagem aberta na página, a mesma visão que a pessoa tem, e envia:

• Assunto.
• Remetente: o endereço e o nome de exibição.
• Um endereço de destinatário. Na caixa de e-mail da própria pessoa, normalmente é o endereço dela.
• Endereço de resposta (reply-to): no Gmail, quando o Gmail mostra um. No Outlook na web, ele não é lido.
• Data.
• Texto do corpo da mensagem aberta, sem as mensagens anteriores citadas. A extensão lê uma mensagem, não a conversa inteira.
• Links: até 10 endereços http ou https distintos da mensagem aberta, inclusive os das mensagens anteriores citadas, cujo texto é removido. Os links para o próprio serviço de e-mail ficam de fora: mail.google.com no Gmail e outlook.office.com e outlook.live.com no Outlook.
• Nomes dos anexos, como a página os mostra. Os anexos não são abertos, e o conteúdo deles nunca é lido nem enviado.

Os resultados de autenticação não são enviados. O webmail não mostra à página os cabeçalhos de uma mensagem, portanto a extensão não consegue ler os resultados de SPF, DKIM ou DMARC. No lugar deles, a requisição leva uma nota fixa informando que não estão disponíveis. Os cabeçalhos brutos também não são lidos.

Cada requisição de análise também leva o ID pseudônimo da instalação e, depois que a instalação se registra (o que ela faz sozinha na primeira execução), o ID do dispositivo; o envio de evidências leva, em vez disso, a credencial do dispositivo (veja Tratamento de dados). Nenhum dos dois IDs é derivado da pessoa nem da máquina. Como em qualquer requisição web, o servidor também vê o endereço de rede de onde ela veio.

O que é enviado ao verificar uma página da web

Em qualquer outra página, a extensão lê a página na aba e envia:

• o título da página;
• o endereço completo, com caminho e string de consulta. Um token de sessão ou um termo de busca no endereço vai junto;
• o nome do host;
• o texto da página, sem scripts e estilos: até 10.000 caracteres nas builds mais recentes da versão 1.0.0 e 5.000 nas anteriores. O texto que a página oculta está incluído. O que a pessoa digitou em um campo de formulário não está;
• até 15 endereços de link http ou https distintos encontrados na página;
• somente nas builds mais recentes da versão 1.0.0: texto e links de frames incorporados à página que vêm da mesma origem, dentro dos mesmos limites de 10.000 caracteres e 15 links; a contagem de frames grandes de outras origens que não puderam ser lidos; e se a página é apenas um invólucro em torno de um frame. Se a página não tiver título, o título de um frame é enviado no lugar.

O webmail em qualquer outro host conta como uma página da web. Isso inclui o Outlook em outlook.cloud.microsoft na versão 1.0.0: veja Limites.

Captura de evidências

A opção Keep evidence of phishing (manter evidências de phishing) vem ativada, a menos que alguém a desative no pop-up, na seção Settings (configurações). Com ela ativada, clicar no botão Analyze em uma página da web também tira uma captura de tela da aba visível e faz uma cópia do HTML da página naquele momento. Os dois ficam na memória da extensão até o veredito chegar. Só são enviados se o veredito for PHISHING ou SUSPICIOUS; caso contrário, os dois são descartados.

Nada é capturado nos quatro hosts de e-mail. Em qualquer outro webmail, a captura de tela mostra a caixa de entrada, porque é isso que a aba exibe, e o HTML da página inclui o conteúdo da mensagem que estava aberta. Por quanto tempo as capturas são mantidas, e quem pode vê-las, está em Tratamento de dados.

O que o serviço devolve

O serviço devolve um veredito estruturado, com vocabulário fixo. Uma resposta em que o veredito, a confiança, a pontuação de risco, o resumo ou os indicadores ficam fora desse vocabulário é tratada como uma análise que falhou, em vez de ser exibida; já um campo opcional malformado, como a marca ou o tipo de pedido, pode ser descartado, e o restante, exibido.

• Veredito: PHISHING, SUSPICIOUS ou BENIGN.
• Confiança: HIGH, MEDIUM ou LOW.
• Uma pontuação de risco de 0 a 100 e até oito outras pontuações, cada uma de 0 a 100 e cada uma calculada separadamente. Quanto maior o valor, mais suspeito.
• A marca que está sendo imitada, se alguma for citada.
• O que a mensagem pede, se for o caso: uma senha, um pagamento, um código de verificação em duas etapas (2FA), dados pessoais, a execução de um arquivo, cartões-presente, uma resposta ou o clique em um link.
• Um resumo escrito curto e, às vezes, um motivo de uma linha.
• Indicadores: cada um tem um tipo (DOMAIN, URL, SENDER, ATTACHMENT, TECHNIQUE ou HEADER), um valor, uma gravidade (alta, média ou baixa) e uma observação curta.

O serviço pede o resumo em inglês simples, então as partes escritas normalmente vêm em inglês, qualquer que seja o idioma da mensagem.

Os três títulos

O painel lateral transforma o veredito em um de três títulos:

• PHISHING vira o título Don’t trust this, em vermelho. A linha abaixo diz “Almost certainly a phishing attempt.”
• SUSPICIOUS vira o título Be careful, em laranja, com “Some warning signs — handle with care.”
• BENIGN vira o título Looks safe, em verde, com “No threats detected.”

Quando a análise traz um motivo de uma linha, ele substitui essa linha. Se uma marca ou um pedido foi citado, a linha seguinte traz “Impersonating …”, “asking for …” ou as duas. Abaixo disso, uma etiqueta mostra o veredito e a confiança como foram devolvidos, por exemplo “PHISHING · HIGH CONFIDENCE”.

A confiança não muda o título. Um veredito BENIGN com confiança LOW continua mostrando o título Looks safe, por isso vale a pena ler a etiqueta.

Pontuações, sinais principais e indicadores

Abaixo do resumo, o painel lateral desenha uma barra para cada pontuação recebida, nesta ordem: Risk, Phishing, Social Eng., Urgency, Auth, Impersonation, Links, Obfuscation, Attachment. Uma pontuação que não foi devolvida fica de fora, não é desenhada como zero. As barras ficam laranja em 40 e vermelhas em 70. Risk é a pontuação geral.

A seção Top signals, perto do topo do resultado, repete até três das outras oito pontuações: as que estão em 40 ou mais, da maior para a menor. Ela nunca inclui Risk e não aparece quando nenhuma pontuação chega a 40.

A seção Technical indicators lista os indicadores, cada um marcado por gravidade. Ela não aparece quando não há nenhum.

O painel lateral escreve esses rótulos de seção e de pontuação em maiúsculas. As pontuações e os indicadores também aparecem no portal quando alguém com permissão para ver a verificação a abre; na seção Summary, o portal mostra o motivo de uma linha, quando há um; se não há, mostra o resumo.

Onde a análise é executada

Esta seção segue a política de privacidade, versão 1.10: as seções “Where analysis happens” e “Third-party processors” (os títulos são os do texto da política em inglês). Se algo aqui for diferente, vale o que diz a política.

A extensão envia cada requisição para api.phishtriage.com. A Cloudflare transporta o tráfego entre o navegador e o servidor do PhishTriage; ela trata os dados apenas em trânsito e não armazena registros. Em seguida, o serviço oferece o conteúdo a modelos em uma ordem fixa, e a primeira resposta utilizável vira o veredito:

1. Um modelo que o PhishTriage hospeda por conta própria, em uma máquina que opera na própria rede. Ele é o primeiro a ser consultado.
2. Um serviço de modelos de terceiros, o Ollama Cloud. A política o cita antes de ele ser usado. Na data de início de vigência da política, ele não está configurado em nenhuma implantação que o PhishTriage opera, portanto não faz parte do caminho.
3. A API Claude da Anthropic. O último recurso, usado quando os níveis anteriores não produzem uma resposta utilizável. A Anthropic atua como operadora segundo os termos da API dela, que dizem que as entradas da API não são usadas para treinar modelos.

Um nível passa o conteúdo para o seguinte quando está inacessível, é lento demais, devolve um erro ou um limite de taxa, ou produz uma saída que não pode ser lida ou que não tem o formato exigido. Se o último nível falhar, a verificação termina sem veredito e o painel lateral mostra um erro.

Para alguns e-mails que um nível anterior à Anthropic considera phishing ou suspeitos, esse mesmo nível é consultado uma segunda vez, com o mesmo conteúdo e uma instrução curta adicional. Essa segunda requisição não vai para nenhum outro nível e nunca para a Anthropic. A política define quando ela é feita.

A política não promete que o conteúdo permaneça em máquinas operadas pelo PhishTriage. O conteúdo chega à Anthropic sempre que o primeiro nível falha, e a política registra uma semana de agosto de 2026 em que isso aconteceu com todas as verificações.

Cada verificação armazenada registra qual nível respondeu. Nada na extensão nem no portal mostra isso; um pedido de acesso a privacy@phishtriage.com devolve essa informação.

Os registros ficam em um banco de dados PostgreSQL, em hardware que o PhishTriage possui e opera, na Estônia. Essa afirmação vale só para o host do banco de dados. A política não diz onde fica o servidor do modelo.

A política cita mais três, e nenhum deles recebe conteúdo de verificações hoje. O Google oferece o login do portal, e toda página do portal carrega a biblioteca de login e as fontes do Google. A Stripe cuida dos pagamentos e não recebe nada, a menos que alguém inicie um checkout. O Elastic Cloud guardava os registros criados antes da migração para o PostgreSQL, em agosto de 2026; o PhishTriage excluiu esse projeto em 2 de outubro de 2026, e o que a Elastic mantém de um projeto excluído, como os próprios backups, é regido pelos termos da Elastic e pelo acordo de tratamento de dados que ela tem com o PhishTriage. A política não lista nenhum serviço de análise de uso (analytics), publicidade, telemetria ou relatório de erros.

Uma organização que opera o próprio backend (disponível no plano corporativo) envia, em vez disso, as verificações ao próprio servidor. A descrição do roteamento acima cabe, então, a essa organização.

Background protection: como um site é verificado

A opção Background protection vem desativada por padrão. Quando alguém a ativa no pop-up, na seção Settings, o navegador pede mais duas permissões: ler o histórico de navegação e ler e alterar dados em todos os sites. A redação é a do próprio navegador. Se a pessoa recusar, o interruptor volta a ficar desativado.

Com ela ativada:

• Cada vez que uma página termina de carregar em uma aba, a extensão envia o nome do host dessa página (por exemplo, www.shop.example) para api.phishtriage.com, com o ID pseudônimo da instalação e o ID do dispositivo. Não envia caminho, string de consulta nem nada da página. Os frames dentro de uma página não são verificados separadamente.
• As páginas do navegador, as páginas de extensões e as páginas about: são ignoradas.
• O serviço confere o nome do host na inteligência de ameaças do PhishTriage. É uma consulta, não uma análise da página.
• Se o site for sinalizado, a extensão exibe sobre ele um aviso de página inteira e coloca um selo “!” no ícone dela na barra de ferramentas. A página já foi carregada: o aviso fica por cima dela e não bloqueia a navegação. O botão Go back to safety sai da página. Na seção Details, o botão I understand the risks — continue to site remove o aviso. Em algumas builds da versão 1.0.0, a linha ACTION do aviso diz “Navigation blocked”; a página foi carregada mesmo assim.
• Se a verificação não for concluída — sem conexão, sem resposta a tempo ou com o serviço recusando a requisição —, a página carrega sem aviso e nada informa a pessoa. Se algo falha, a opção Background protection deixa a página passar (fail open); trate essa opção como uma camada extra, e não como uma barreira.
• Cada verificação é armazenada como um registro de visita, até um número definido por dispositivo a cada hora; uma verificação além desse número ainda recebe resposta, mas nenhum registro é gravado para ela. Um registro de visita recebe a data de exclusão no momento em que é gravado: 365 dias depois, por padrão, ou após o período de 7 a 365 dias então em vigor para a conta sob a qual ele é gravado, que o proprietário de uma equipe ou a pessoa que fez login pode escolher (veja Tratamento de dados). Um registro gravado antes de 4 de outubro de 2026 mantém os 90 dias que recebeu. O log do servidor também registra o nome do host de cada verificação registrada (ou o endereço completo, com a opção Send full URLs), com um hash do endereço de rede, e nada no PhishTriage exclui esse log automaticamente. Uma verificação além do limite ainda deixa uma linha no log, mas sem hash de endereço e sem nome do host. Mediante solicitação a privacy@phishtriage.com, as linhas de um dispositivo são apagadas manualmente; veja Tratamento de dados.

A opção Send full URLs

A opção Send full URLs, na seção Advanced das configurações do pop-up, vem desativada por padrão e exige as mesmas permissões. Quando ativada, o endereço completo de cada carregamento de página, com caminho e string de consulta, é enviado e verificado. Se a opção Background protection estiver ativada ao mesmo tempo, o nome do host também é enviado, como uma segunda verificação.

A opção Cache domains for 1 hour

A opção Cache domains for 1 hour, também na seção Advanced, vem desativada por padrão. Quando ativada, a extensão lembra cada nome de host que enviou e não o envia de novo por uma hora. Cada site passa a ser verificado no máximo uma vez por hora, não importa quantas de suas páginas sejam abertas, e uma nova visita dentro dessa hora não gera nova verificação. Assim, um site que a verificação de nome de host sinalizou na visita anterior não recebe aviso dessa verificação em uma nova visita dentro da hora. A lista fica no armazenamento da extensão naquele dispositivo. O cache vale apenas para verificações de nome de host, não para endereços completos.

Como mostrar o aviso com segurança

A extensão reconhece https://phishtriage.com/dangerous-example no próprio dispositivo. Com a opção Background protection ativada, ou com a opção Send full URLs ativada, ao abrir esse endereço o aviso de página inteira sempre aparece, para que você possa mostrar aos colegas o que esperar sem uma ameaça real. A visita continua sendo informada como qualquer outra.

Cliques nos botões de feedback

Abaixo de cada resultado, a seção Your feedback oferece os botões Looks safe to me e Looks dangerous. Só um clique é aceito por resultado; depois, os botões são substituídos por “Thanks — saved on this device.”

Na versão 1.0.0, um clique fica no dispositivo. A extensão guarda no próprio armazenamento o veredito, o botão clicado, o horário e o endereço da página ou da mensagem, mantendo os últimos 100 cliques, e não envia nada. Portanto, um clique não altera o veredito, não chega ao PhishTriage e não aparece no portal. Remover a extensão apaga a lista; os botões Sign out e Leave team não removem. A política de privacidade descreve versões mais novas, em que o clique também é enviado.

Se você acha que um veredito está errado, escreva para support@phishtriage.com.

Limites

O que a extensão não consegue ver

• Aplicativos de e-mail para computador, como o Outlook para Windows ou Mac, o Apple Mail ou o Thunderbird. A extensão só funciona com e-mails abertos em uma aba do navegador.
• Celulares e tablets. Não existe aplicativo para celular, e a extensão funciona apenas nas versões para computador do Chrome, do Edge, do Brave e do Firefox. O Safari não é compatível.
• O Outlook em outlook.cloud.microsoft na versão 1.0.0. Esse endereço não é lido como e-mail e não recebe botão na página. O pop-up oferece o botão Analyze Current Page, que verifica a página inteira do Outlook como uma página da web comum: o texto e os links dela, dentro dos limites acima, e não os campos da mensagem listados em “O que é enviado ao verificar um e-mail”. A captura de evidências se aplica como em qualquer página da web. Os outros três endereços do Outlook são lidos como e-mail.
• Outros webmails, por exemplo Yahoo, Proton ou o Outlook Web Access de uma organização em domínio próprio. Eles são verificados como uma página da web, do mesmo modo.
• Cabeçalhos e resultados de autenticação, como descrito acima.
• Conteúdo dos anexos. Só os nomes são enviados.
• Páginas do navegador e lojas de extensões. O navegador não permite que uma extensão as leia, então elas não podem ser analisadas.

Um veredito é um apoio à decisão

Um veredito é a avaliação de um modelo sobre o conteúdo listado acima. Não é uma garantia em nenhum dos dois sentidos. O título Looks safe não prova que uma mensagem é segura, e SUSPICIOUS é o veredito em que as mensagens legítimas mais costumam cair por engano. Trate o veredito como uma informação entre outras. Mantenha seu próprio canal de denúncia e peça às pessoas que o usem, seja qual for o veredito, quando algo pedir uma senha, um pagamento ou um código.

O limite de taxa

As análises são limitadas por hora, contadas por endereço de rede. Colegas que usam a mesma conexão de internet do escritório compartilham a cota. Quando ela acaba, o painel lateral diz “Too many scans right now. Give it a moment and try again.” A cota volta a ficar disponível dentro de uma hora.

Outros erros

• “That message is too large to scan.” Mensagens muito longas podem ser recusadas.
• “That took too long and was stopped. Try again.”
• “Couldn’t reach the service. Check your connection and try again.”
• “The triage service didn’t respond properly. This is usually temporary.” Essa mensagem aparece quando o serviço devolve um erro de servidor, inclusive quando nenhum modelo produziu uma resposta utilizável.

Em todos os casos, nenhum veredito é exibido; o botão Try again executa a verificação de novo.