whats.link logo

    Segurança e Denúncias

    Última atualização: 30 de outubro de 2026 · English version below

    Para denunciar phishing, golpe ou perfil falso

    Use o botão “Denunciar este perfil” na própria página do perfil ou escreva para souzacostabrenno@gmail.com informando a URL (whats.link/…). Removemos conteúdo abusivo em até 24 horas após a denúncia. Contato também publicado em /.well-known/security.txt (RFC 9116).

    1. O que é o whats.link

    O whats.link é uma plataforma de páginas de perfil criadas pelos próprios usuários (conteúdo gerado por usuário). Cada perfil contém apenas: nome, número de WhatsApp, categoria, descrição em texto, mensagem inicial e imagem de perfil. Perfis VIP podem ter também imagem de capa, links para redes sociais e endereço com mapa.

    A única ação de um perfil é abrir uma conversa no WhatsApp pelo endereço oficial https://wa.me/. O usuário não consegue inserir formulários no perfil, e a página não coleta senhas, dados de cartão ou dados bancários de quem a visita. O único formulário presente é o de denúncia, do próprio whats.link.

    2. O que a plataforma NÃO hospeda

    • Nenhum arquivo para download (.zip, .rar, .7z, .tar, .exe, .apk, .pdf, .html etc.). Requisições a esses caminhos respondem 404 Not Found — esses arquivos não existem.
    • Nenhum HTML, JavaScript ou CSS enviado por usuários. Todo texto do usuário é tratado como texto puro (escapado) na renderização.
    • Nenhuma página de login, pagamento ou coleta de dados criada por usuários.

    3. Imagens enviadas (único tipo de upload)

    • São aceitas somente imagens JPEG, PNG, WebP ou GIF, validadas pelo conteúdo real do arquivo (decodificação), não pela extensão.
    • Toda imagem é decodificada e reconvertida para WebP (máx. 1600 px), o que descarta metadados e qualquer conteúdo embutido.
    • O nome original é descartado; o arquivo recebe um nome aleatório. Limite de 5 MB por arquivo e limite de envios por IP.
    • As imagens ficam em armazenamento separado (Amazon S3), fora do domínio whats.link, servidas como image/webp.
    • Qualquer outro tipo de arquivo é recusado.

    4. Links externos

    Links de redes sociais em perfis VIP aceitam somente URLs http(s); esquemas como javascript: ou data: são bloqueados. Todos os links externos usam rel="noopener noreferrer nofollow ugc".

    5. Prevenção de abuso

    • Todo perfil criado ou editado passa por uma análise automática de sinais de golpe, phishing e conteúdo proibido. Os sinais vão para uma fila de revisão humana.
    • Perfis que se apresentam como canal oficial de uma empresa (ex.: “central de atendimento”, “suporte”, “2ª via”, “fatura” junto do nome de banco, operadora ou órgão público) com alta confiança de golpe saem do ar até a revisão manual, que é feita com prioridade.
    • Casos com indícios moderados ficam com publicidade desativada na página até a revisão.
    • Números de telefone e apelidos usados em perfis abusivos são bloqueados permanentemente — não podem ser usados para criar novos perfis.
    • A edição e a exclusão de perfis são restritas ao dono autenticado e à administração.

    6. Remoção de conteúdo

    • Conteúdo de phishing, golpe, falsidade ideológica ou que viole a lei é removido em até 24 horas após a denúncia.
    • Perfis removidos respondem HTTP 410 Gone (remoção permanente) e não são indexados.
    • Cada remoção é registrada com motivo, data e responsável (trilha de auditoria).

    7. Para registradoras, provedores e equipes de resposta (CERT/CSIRT)

    Envie a URL completa e, se houver, o número de referência do seu chamado para souzacostabrenno@gmail.com. Confirmamos a remoção por e-mail.

    Security & Abuse Policy (English)

    Report abuse: use the “Denunciar este perfil” (Report this profile) button on any profile, or email souzacostabrenno@gmail.com with the full URL. Abusive content is removed within 24 hours. See also /.well-known/security.txt (RFC 9116).

    • Service: user-generated profile pages (name, WhatsApp number, category, plain-text description, greeting message, profile image; VIP profiles may add a cover image, social links and an address/map). The only action on a profile opens a chat via https://wa.me/.
    • No user forms, no credential collection: users cannot add forms to a profile, and profile pages never collect passwords, card or banking data. The only form on the page is whats.link’s own abuse-report form.
    • No file hosting: no downloadable files (.zip, .rar, .7z, .tar, .exe, .apk, .pdf, .html…). Such paths return 404; the files do not exist. No user-supplied HTML/JS/CSS — all user text is escaped.
    • Images only: JPEG/PNG/WebP/GIF verified by decoding (not by extension), re-encoded to WebP (max 1600px, metadata stripped), random file name, 5 MB limit, per-IP rate limit, stored on separate storage (Amazon S3) outside the whats.link domain. Any other file type is rejected.
    • External links: only http(s) URLs; javascript:/data: blocked; rel="noopener noreferrer nofollow ugc".
    • Prevention: new profiles whose name, handle or description contain brand names (banks, telecoms, government, retailers) or common scam terms are hidden pending manual review. Phone numbers and handles used for abuse are permanently blocked.
    • Takedown: removed profiles return HTTP 410 Gone, are not indexed, and every removal is logged (reason, date, operator).