Se tem um domínio .pt, é provável que já tenha recebido — ou venha a receber — um email do .PT sobre segurança e sobre confirmação de dados. Não é phishing. Mas está a gerar confusão, porque duas mudanças diferentes estão a ser tratadas como se fossem a mesma coisa.
Neste artigo separamos o que é cada uma, explicamos o que tem efetivamente de fazer conforme o local onde registou o domínio, e deixamos um aviso que nos parece tão importante como o resto: a vaga de emails fraudulentos que muito provavelmente vai aproveitar esta situação.
Em resumo
- Mudança 1: a partir de 10 de outubro de 2026, o acesso à área reservada do .PT passa a exigir autenticação multifator (MFA). Só afeta quem tem login próprio no .PT.
- Mudança 2: desde julho de 2026, os dados dos titulares de domínios .pt passaram a ter de ser verificados e validados, por imposição legal (NIS2 / Regime Jurídico da Cibersegurança).
- Se registou o domínio através de um fornecedor, é esse fornecedor que trata da verificação e validação. Não tem de fazer nada no site do .PT.
- A renovação não exige validação. Ao contrário do que muitos artigos estão a escrever, a lista oficial do .PT abrange apenas novos registos, transferências de titularidade e alterações de contactos.
Duas mudanças diferentes que estão a ser confundidas
Vale a pena arrumar isto logo no início, porque quase toda a confusão nasce aqui.
| Autenticação Multifator (MFA) | Verificação e validação de dados | |
|---|---|---|
| O que é | Uma segunda camada de segurança no login | Confirmação de que os dados do titular são reais e estão operacionais |
| Quando | Obrigatória a partir de 10.10.2026 | Já em vigor |
| Porquê | Decisão do .PT para proteger contas | Obrigação legal (NIS2 / RJC) |
| Quem afeta | Só quem acede à área reservada do .PT | Todos os titulares de domínios .pt |
| Onde se resolve | Área reservada do .PT | No fornecedor, ou na área reservada, conforme o caso |
São mudanças independentes. Pode ter de fazer as duas, apenas uma, ou nenhuma neste momento.
O que é a Autenticação Multifator (MFA)?
Porque é que uma palavra-passe já não chega
Uma palavra-passe é um segredo único. Se alguém a descobrir — através de uma fuga de dados noutro site onde usou a mesma, de um email fraudulento ou de software malicioso — tem acesso total à conta. E o problema, no caso de um domínio, não é pequeno: quem controla a área reservada de um domínio pode redirecionar o site, desviar o email da empresa ou iniciar uma transferência de titularidade.
A autenticação multifator resolve isto exigindo duas provas diferentes para entrar: algo que sabe (a palavra-passe) e algo que tem (o telemóvel). Mesmo que a palavra-passe seja comprometida, o acesso continua bloqueado.
Na prática, depois de introduzir o utilizador e a palavra-passe, é-lhe pedido um código de utilização única — o chamado código OTP — com validade de poucos segundos. Sem esse código, não entra. O processo repete-se em todos os acessos.
SMS ou aplicação: qual escolher
O .PT permite os dois métodos. Se puder escolher, recomendamos a aplicação.
- Por SMS: o código chega por mensagem ao telemóvel. É o método mais simples, mas é vulnerável a um ataque chamado SIM swapping, em que o atacante consegue duplicar o cartão SIM junto do operador e passa a receber os seus códigos.
- Por aplicação autenticadora: uma app instalada no telemóvel gera os códigos localmente, sem depender da rede. Google Authenticator, Microsoft Authenticator e 1Password são exemplos comuns. É mais seguro e funciona mesmo sem rede móvel.
Um cuidado importante: se optar pela aplicação, guarde o código de recuperação ou a chave de configuração num local seguro. Se perder o telemóvel sem essa cópia, recuperar o acesso torna-se um processo demorado.
Como ativar no .PT
O procedimento leva poucos minutos:
- Entre na área reservada em www.pt.pt
- Clique no seu nome, no canto superior direito, e selecione Preferências de Utilizador
- Ative a autenticação de dois fatores no botão do canto superior direito
- Escolha Ativar Autenticação via SMS ou Ativar Autenticador QRCode
- No caso da aplicação, leia o QR Code com a app escolhida e introduza o código gerado para concluir
A ativação é gratuita.
A verificação e validação de dados
O que a lei passou a exigir e porquê agora.
Esta segunda mudança não partiu do .PT por iniciativa própria. Resulta do Regime Jurídico da Cibersegurança, que transpôs para a legislação portuguesa a diretiva europeia NIS2.
A NIS2 trata o registo de domínios de topo como infraestrutura crítica. Entidades como o .PT passaram a ter de garantir que os dados associados a cada domínio existem, estão corretos e atualizados, pertencem efetivamente aos titulares e estão operacionais.
O objetivo declarado é simples: garantir que por trás de cada domínio .pt está alguém real, identificável e contactável. Isso dificulta a vida a quem regista domínios semelhantes a marcas legítimas para enganar clientes, e facilita a resposta quando há abuso.
Verificação e validação não são a mesma coisa
Esta distinção aparece no documento oficial do .PT e raramente é explicada:
- Validação — confirma que os dados estão corretos, completos e coerentes.
- Verificação — confirma que os contactos existem, estão ativos e operacionais.
Os elementos abrangidos são cinco: nome, morada, NIF, email e telefone.
Quanto tempo dura
A verificação e validação têm uma validade de três anos. Só é necessário repetir o processo depois de expirar esse prazo e quando realizar uma operação que o exija. Não é, portanto, uma tarefa recorrente.
Quando é obrigatório e o mito da renovação
O documento oficial do .PT identifica três situações:
- Novo registo de domínio
- Transferência de titularidade — para o novo titular
- Alteração de contactos
E é aqui que convém ser claro: a renovação de domínio não consta desta lista.
Vários artigos publicados em Portugal (incluindo peças noticiosas e páginas de fornecedores) afirmam que o registo, a renovação e a transferência passaram a exigir validação prévia. A documentação oficial do .PT não refere a renovação entre as operações abrangidas.
Se tem domínios com renovação marcada para as próximas semanas, isso não significa que não deva manter os dados em ordem…deve. Mas não há motivo para pânico nem para acreditar que o domínio expira por falta de validação.
O que acontece se não fizer nada
As consequências incidem sobre operações, não sobre a existência do domínio. Se os dados da entidade não estiverem verificados, o registo de novos domínios e as transferências de titularidade ficam bloqueados até à regularização.
Na prática, isto significa que uma empresa pode ver-se impedida de mudar de fornecedor ou de concluir a venda de um domínio no momento em que precisa.
O que tem de fazer depende de onde registou o domínio
Se registou através de um fornecedor ou agente de registo
É o fornecedor que trata da verificação e validação. Acontece automaticamente quando já tem domínios sob a gestão desse agente de registo, ou quando o contacto é criado por ele.
O que lhe compete a si: confirmar que o email e o telemóvel associados ao domínio estão corretos e acessíveis, e responder aos pedidos de confirmação que receba do fornecedor. Normalmente é apenas um código a introduzir.
Se o seu fornecedor não o contactou, vale a pena perguntar em que ponto está a situação dos seus domínios.
Se registou diretamente no .PT
Neste caso trata do processo na sua área reservada, antes de registar um novo domínio ou de aceitar a titularidade de um domínio.
O caminho é: entrar em www.pt.pt → área reservada → separador Entidades → A Minha Entidade → descer até Lista de Contactos. Os contactos com ícone de verificação já estão tratados, e é possível consultar a data de validade. Os restantes têm uma ligação para iniciar o processo: pede-se um código de confirmação, que chega por email ou telefone, e introduz-se para concluir.
Nota útil: ao criar uma entidade ou utilizador novo, o email fica automaticamente verificado. Faltará apenas confirmar o contacto telefónico.
Se gere domínios de terceiros, mas não é agente de registo
É o caso de muitos consultores, informáticos e responsáveis de TI que gerem domínios em nome de clientes, ou mesmo o caso de agências de web design como a Tecla Digital.
Antes de registar um novo domínio ou iniciar uma transferência de titularidade, tem de garantir que os dados do seu nic-handle estão verificados na sua área reservada e que os dados do nic-handle do novo titular também estão verificados na respetiva área reservada.
Há ainda um detalhe que apanha muita gente de surpresa: por motivos de proteção de dados, os agentes de registo não conseguem ver os dados de um contacto já existente no sistema do .PT que não esteja sob a sua gestão. Nesses casos, é necessário atualizar os dados na área reservada e utilizar a ação Pedido de Validação de Dados, disponível apenas para entidades sem domínios sob gestão de um agente de registo. O .PT pode pedir documentação para confirmar a informação submetida.
Atenção: a vaga de phishing que aí vem
Este é o ponto que preferimos sublinhar, e que raramente aparece nos artigos sobre o tema.
Porque é que este é o cenário perfeito para burlas
Se ainda não recebeu emails fraudulentos sobre domínios, é muito provável que venha a receber nos próximos meses. As condições estão todas reunidas:
- Milhares de titulares estão à espera de emails sobre confirmação de dados de domínios
- Os emails legítimos pedem exatamente aquilo que um burlão quer: que clique num link e introduza credenciais
- Existe um prazo publicitado, o que dá pretexto para criar urgência
- A informação sobre quem detém cada domínio .pt é, em parte, pública
Quando as pessoas estão habituadas a receber um determinado tipo de mensagem, deixam de a questionar. É precisamente nesse momento que o phishing funciona melhor.
Se recebeu uma mensagem sobre os seus domínios, abra o navegador e escreva o endereço diretamente: www.pt.pt, ou o painel do fornecedor onde registou o domínio. Se a ação for realmente necessária, vai encontrá-la lá. Se não encontrar nada, o email era falso — e não perdeu nada.
Este hábito, sozinho, elimina a esmagadora maioria dos ataques deste tipo.
Checklist: seis passos para ficar em ordem
- Faça o inventário dos seus domínios .pt e identifique onde cada um está registado — diretamente no .PT ou através de um fornecedor
- Confirme os contactos: o email e o telemóvel associados a cada domínio estão corretos e são acessíveis hoje?
- Verifique se o email é de uma pessoa que ainda está na empresa — é uma das causas mais comuns de perda de controlo de domínios
- Ative o MFA na área reservada do .PT, se tiver acesso próprio, de preferência por aplicação autenticadora
- Fale com o seu fornecedor sobre o estado da verificação dos domínios que ele gere
- Avise a sua equipa sobre a vaga de phishing esperada, e sobre a regra de nunca clicar em links de emails relacionados com domínios
Perguntas frequentes
O meu domínio .pt pode ser cancelado se eu não validar os dados?
Não. O que fica bloqueado são operações: registo de novos domínios e transferências de titularidade. A validação não é, por si, condição de sobrevivência do domínio.
Tenho de validar os dados para renovar o domínio?
A lista oficial de operações que exigem verificação e validação não inclui a renovação. Ainda assim, manter os dados corretos é boa prática e evita problemas noutras operações.
Registei o domínio através de uma empresa de alojamento. Tenho de fazer alguma coisa no site do .PT?
Em regra, não. Cabe ao agente de registo tratar da verificação e validação. A si compete garantir que os contactos estão corretos e responder aos pedidos de confirmação.
Quanto custa?
Nada. Nem a verificação e validação, nem a ativação do MFA. Qualquer pedido de pagamento associado a estes processos deve ser tratado como fraude.
De quanto em quanto tempo tenho de repetir o processo?
A verificação e validação são válidas por três anos. A revalidação só é necessária depois de expirar esse prazo e quando realizar uma operação que a exija.
O MFA é obrigatório para quem não acede à área reservada do .PT?
Não. A obrigatoriedade a partir de 10 de outubro de 2026 aplica-se ao acesso à área reservada do .PT. Se gere tudo através de um fornecedor, o que se aplica é a política de segurança do painel desse fornecedor — e vale a pena ativar o segundo fator também aí, se estiver disponível.
Perdi o acesso ao telemóvel com a app autenticadora. O que faço?
Terá de recorrer ao processo de recuperação da plataforma, que costuma exigir validação de identidade. É por isso que recomendamos guardar sempre uma cópia da chave de configuração num gestor de palavras-passe.
Precisa de ajuda a gerir os seus domínios?
Um domínio é o ativo digital mais silencioso de uma empresa. Ninguém pensa nele — até ao dia em que o email deixa de funcionar, o site fica inacessível, ou se descobre que está registado no nome de alguém que já saiu da organização.
Na Tecla Digital, a gestão de domínios e de DNS faz parte do trabalho que fazemos com os nossos clientes, precisamente para que estas mudanças regulamentares não se tornem um problema para quem tem outras coisas a tratar.
Se tem dúvidas sobre o estado dos seus domínios, ou se quer simplesmente perceber onde está registado o quê, fale connosco.
Informação baseada na documentação oficial da Associação DNS.PT sobre verificação e validação de dados e sobre autenticação multifator, no Decreto-Lei n.º 125/2025 (Regime Jurídico da Cibersegurança) e no Regulamento n.º 756/2026 do CNCS. Última atualização: setembro de 2026.
