Adicione o seu Trust Badge
em dois minutos.

Pré-visualize e instale o seu badge

Experimente os estilos abaixo para ver exatamente o que os seus visitantes vão ver. Quando estiver pronto, o seu código personalizado está à sua espera no painel - sem precisar de saber programar.

<div class="pcrisk-badge"
     data-style="shield"
     data-size="medium"
     data-theme="light"
     style="min-width:214px;min-height:141px;font-size:0;line-height:0"></div>
<script src="https://scanner.pcrisk.com/badge/trust-badge.js" defer></script>

Guias por plataforma

Duas formas de adicionar o selo: instale o nosso plugin ou cole o snippet do seu painel. Escolha a sua plataforma abaixo — em ambos os casos demora poucos minutos.

Personalize o seu selo

As suas escolhas ficam como data-* atributos na colocação do snippet <div> - o criador do painel define todos ao gerar o seu código. Para alterar o estilo depois, escolha um novo visual lá e cole o snippet atualizado sobre o antigo. Eis o que cada atributo controla.

O badge não aparece?

Siga estes passos por ordem - os dois primeiros resolvem a grande maioria dos casos.

script-src  https://scanner.pcrisk.com
connect-src https://scanner.pcrisk.com
style-src   'unsafe-inline'

Como os visitantes verificam

Um emblema que qualquer pessoa pode falsificar não gera confiança. O nosso é verificável de forma independente - é isso que faz valer a pena mostrá-lo.

O que acontece se for detetada uma ameaça

Nunca irá mostrar um selo “verificado” num site comprometido.

Alertas Slack & webhook

Receba os mesmos alertas que enviamos por email - ameaça encontrada, tudo limpo, a análise não pôde ser concluída - enviados para o Slack ou para o seu próprio endpoint, nos mesmos momentos. Configure ambos no painel em Definições → Integrações de alertas.

Slack

No Slack, crie um Incoming Webhook para o canal pretendido (Slack: Apps → Incoming Webhooks → Add to a channel), cole o hooks.slack.com URL no seu painel e prima Enviar teste do Slack. É toda a configuração - sem código.

Webhooks

Nós enviamos JSON por POST para o seu endpoint HTTPS. Quatro tipos de evento:

• alert.opened - uma verificação sinalizou o site (pontuação abaixo de 70); o selo foi pausado.
• alert.resolved - uma verificação posterior voltou limpa; o selo foi restaurado.
• scan.failed - a verificação diária não pôde ser concluída (site inacessível); enviada uma vez por indisponibilidade.
• teste - o Enviar teste de webhook botão.

{
  "event": "alert.opened",
  "domain": "example.com",
  "trust_score": 55,
  "threat_type": "suspicious",
  "severity": "medium",
  "occurred_at": "2026-07-07T08:28:36.874Z"
}

Cada pedido inclui três cabeçalhos: Content-Type: application/json, X-PCrisk-Event (o tipo de evento), e X-PCrisk-Signature - sha256= seguido do HMAC SHA-256 em hex do corpo bruto do pedido, com a signing secret mostrada no seu painel. Verifique-a antes de confiar na entrega.

Semântica de entrega: esperamos até 5 segundos por uma resposta e contamos qualquer 2xx como aceite; uma entrega falhada é repetida uma vez, ~15 segundos depois, e depois descartada. Trate os webhooks como notificações, não como registo - o seu painel é o estado de referência.

const crypto = require('crypto');
const express = require('express');
const app = express();

// express.raw keeps the body as the exact bytes we signed
app.post('/hooks/pcrisk', express.raw({ type: 'application/json' }), (req, res) => {
  const expected = 'sha256=' + crypto
    .createHmac('sha256', process.env.PCRISK_WEBHOOK_SECRET)
    .update(req.body) // Buffer
    .digest('hex');
  const given = req.get('X-PCrisk-Signature') || '';
  const ok = given.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(given), Buffer.from(expected));
  if (!ok) return res.status(401).end();

  const event = JSON.parse(req.body);
  console.log(event.event, event.domain, event.trust_score);
  res.status(200).end(); // any 2xx marks the delivery as accepted
});

app.listen(3000);

<?php
$secret   = getenv('PCRISK_WEBHOOK_SECRET');
$raw      = file_get_contents('php://input'); // raw body, before any parsing
$given    = $_SERVER['HTTP_X_PCRISK_SIGNATURE'] ?? '';
$expected = 'sha256=' . hash_hmac('sha256', $raw, $secret);

if (!hash_equals($expected, $given)) {
    http_response_code(401);
    exit;
}

$event = json_decode($raw, true);
// $event['event'], $event['domain'], $event['trust_score'], ...
http_response_code(200); // any 2xx marks the delivery as accepted

import hashlib, hmac, os
from flask import Flask, request, abort

app = Flask(__name__)
SECRET = os.environ["PCRISK_WEBHOOK_SECRET"].encode()

@app.post("/hooks/pcrisk")
def pcrisk_hook():
    raw = request.get_data()  # raw body, before parsing
    expected = "sha256=" + hmac.new(SECRET, raw, hashlib.sha256).hexdigest()
    given = request.headers.get("X-PCrisk-Signature", "")
    if not hmac.compare_digest(expected, given):
        abort(401)

    event = request.get_json()
    # event["event"], event["domain"], event["trust_score"], ...
    return "", 200  # any 2xx marks the delivery as accepted

# run with: flask --app hook run --port 3000

Vai mudar o endpoint? Guarde o novo URL no painel e envie um teste - a signing secret mantém-se a mesma para a sua conta. Os alertas são por incidente (um alert.opened por episódio abaixo de 70, não um por verificação), por isso o seu canal não será inundado por um site que continue sinalizado.

REST API

Traga os seus domínios, pontuações, histórico de verificações e alertas para os seus próprios painéis, relatórios e monitorização. Acesso de leitura no Pro; o Business adiciona gestão de domínios. A API só expõe seus domínios monitorizados.

Autenticação

Crie uma chave no seu painel em Definições → Chaves API (é mostrada uma vez - guardamos apenas um hash) e envie-a como token Bearer. As chaves herdam as permissões do seu plano atual, e revogá-las no painel desativa-as de imediato.

curl https://scanner.pcrisk.com/api/v1/domains   -H "Authorization: Bearer pcrisk_live_YOUR_KEY"

{
  "success": true,
  "data": [
    {
      "domain": "example.com",
      "status": "verified",
      "trust_score": 92,
      "threat_type": "clean",
      "last_scanned": "2026-07-07T06:12:04.000Z",
      "open_alerts": 0,
      "badge_visible": true,
      "badge_live": true
    }
  ]
}

Endpoints

GET /api/v1 - descoberta: o seu plano e nível.
GET /api/v1/domains - todos os seus domínios com pontuação atual, tipo de ameaça e estado do badge.
GET /api/v1/domains/{domain} - um domínio.
GET /api/v1/domains/{domain}/history - histórico da pontuação de análise (a profundidade segue o seu plano).
GET /api/v1/alerts - alertas de ameaça mais recentes em todos os domínios, abertos e resolvidos.
POST /api/v1/domains (Business) - adicione um domínio; a monitorização começa de imediato. Corpo: {"domain": "example.com"}.
DELETE /api/v1/domains/{domain} (Business) - remova um domínio; as análises param, o badge deixa de ser apresentado.

Experimente

Cole uma chave API do seu painel (Definições → Chaves API) e chame aqui qualquer endpoint de leitura. A chave vai apenas neste pedido, para este site - nada é guardado, e o pedido conta para o seu limite de taxa como qualquer outro.

Convenções: cada resposta é JSON com success e data ou código.erro + mensagem.erro (401 chave inválida, 403 plano/nível, 404 não é sua, 429 limite atingido). O limite é 60 pedidos/minuto por chave - veja os cabeçalhos X-RateLimit-Remaining e Retry-After .