Jak ověřit pravost webu – doména, zámek HTTPS, pečeť a oficiální adresy před zadáním údajů

Podvodné stránky už dávno nevypadají toporně: mají logo, barvy a formuláře stejné jako skutečná banka, úřad či obchod. Rozdíl bývá v adrese, kterou v řádku snadno přehlédnete. Pravidlo „podívej se na zámek“ je navíc zavádějící: zámek neříká, že je web důvěryhodný, ale jen že je spojení šifrované. Tento článek ukazuje praktický postup, jak si pravost webu ověřit dříve, než zadáte údaje nebo zaplatíte.

Informace vycházejí z nápovědy Google Chrome Ověření zabezpečení webu (popis pro Android; stav k 13. 11. 2026), z doporučení Policie ČR – Vishing a spoofing a z varování ČSSZ o falešných webech. Popis ikon se může lišit podle verze prohlížeče a zařízení. Nejde o odborné poradenství.

Související články: Co je to phishing, Chrome – Bezpečné prohlížení a Podvodné e-shopy – jak je poznat.

Aktualizováno: listopad 2026.

Základní pravidlo: neotvírat web z odkazu ve zprávě

Nejspolehlivější ochrana je nepřicházet na citlivou stránku přes odkaz z SMS, e-mailu či sociální sítě. Adresu zadejte ručně, nebo použijte záložku, kterou jste si dříve uložili z ověřeného zdroje. Policie při vishingu upozorňuje, že útočník může napodobit i odesílatele SMS a e-mailovou adresu; zpráva tedy „od banky“ nemusí od banky být. Policie také radí při každém přihlášení do internetového bankovnictví ověřit, zda odpovídá doména přihlašovací stránky, a stejně postupovat kdykoli zadáváte osobní nebo přihlašovací údaje.

Kontrola pravosti webu před zadáním údajů – vlastní infografika

1. Doména: nejdůležitější část adresy

Doménu hledejte v části adresy před prvním lomítkem: rozhoduje doména těsně před koncovkou (například „.cz“). Co je vlevo, mohou útočníci libovolně vymýšlet. Na co si dávat pozor:

• překlepy a záměny znaků (písmeno „l“ a číslice „1“, „rn“ místo „m“),
• přidaná slova (název banky + „-prihlaseni“, „-overeni“, „-bezpecnost“),
• jiná koncovka (.top, .xyz, .shop místo .cz),
• podobný, ale odlišný název firmy,
• dlouhé adresy, kde skutečná doména je schovaná uprostřed,
• zkrácené odkazy (bit.ly a podobné), které skrývají cíl.

Pokud si nejste jistí, porovnejte adresu s tou, kterou máte na kartě, ve smlouvě nebo v aplikaci. ČSSZ například uvádí, že oficiální weby jsou pouze www.cssz.gov.cz a eportal.cssz.cz. Podobně si zjistěte oficiální adresy své banky, pošty a úřadů a uložte si je.

2. Ikona zabezpečení: co znamená a co ne

Podle nápovědy Chrome se vedle adresy zobrazuje ikona stavu zabezpečení. Význam:

• Výchozí (zabezpečeno): spojení je soukromé. Nápověda přitom doplňuje: u citlivých údajů si přesto ověřte v adresním řádku, že jste na správném webu.
• Informace nebo Nezabezpečeno: spojení není soukromé a data může někdo číst či měnit; opravit to může jen provozovatel webu zabezpečením přes HTTPS.
• Nebezpečné: web byl označen službou Bezpečné procházení; obvykle se zobrazí červená obrazovka přes celou stránku. Web nepoužívejte.

Zámek tedy nezaručuje pravost. Podvodné weby běžně používají HTTPS, protože certifikát si lze pořídit snadno. Zámek znamená jen, že mezi vámi a webem se data šifrují, a to i tehdy, když je „druhým koncem“ podvodník. Rozhodující je doména.

Zapnutím volby Vždy používat zabezpečená připojení ve Chromu se prohlížeč zeptá, než otevřete nezabezpečené spojení, a u webů bez HTTPS zobrazí upozornění „Připojení není zabezpečené“. Pokud se zobrazí hlášení „Vaše připojení není soukromé“, může být problém s webem, sítí nebo zařízením; u citlivých služeb nepokračujte a zkuste jinou síť.

3. Informace o stránce

V Chromu na Androidu klepněte na ikonu možností → Ovládací prvky webu a zobrazí se přehled ochrany soukromí, cookies, oprávnění a informace o stránce. V sekci O této stránce najdete informace o zdroji a tématech stránky, pokud je funkce k dispozici. Nápověda nepopisuje zobrazení certifikátu, proto jej nepopisujeme. Pokud jde o důležitou transakci, vyhledejte si o webu informace i jinde: v obchodním rejstříku, v nezávislých recenzích či na sociálních sítích firmy.

4. Digitální pečeť: příklad ČSSZ

ČSSZ uvádí, že pravost jejího webu lze ověřit kliknutím na digitální pečeť DigiCert vpravo dole na stránce, která zobrazí identifikační údaje majitele. Pečeť je ale nutné otevřít a zkontrolovat: obrázek pečeti na podvodném webu může být jen nakopírovaný. Zjistěte tedy, zda se po kliknutí zobrazí smysluplné informace o správné organizaci. Nespoléhejte jen na to, že „tam nějaká pečeť je“.

5. Vyhledání firmy mimo web

Před nákupem u neznámého e-shopu, před půjčkou či investicí ověřte provozovatele nezávisle:

• Obchodní rejstřík a IČO.
• Registry finančního trhu: u investic a úvěrů JERRS ČNB; viz Jak ověřit investiční společnost v JERRS.
• Kontakty a podmínky na webu: chybějící údaje o provozovateli jsou varování.
• Hodnocení na ověřených zdrojích.

6. Pozor na reklamy a vyhledávač

Podvodné weby se objevují i v placených reklamách nad výsledky vyhledávání a na sociálních sítích. Když hledáte přihlašovací stránku banky, použijte záložku nebo oficiální aplikaci, ne první reklamu. Pokud vás reklama láká na „investici s celebritou“, zbystřete; viz Deepfake reklamy s celebritami.

7. Správce hesel jako pomocník

Správce hesel obvykle vyplní přihlašovací údaje jen na webu s odpovídající doménou. Pokud se heslo nenabídne, může to znamenat, že jste na jiné stránce, než si myslíte. Vnímejte to jako varování, nikoli jako chybu; viz Správce hesel Google v Chromu a Správce hesel – jak funguje. Další pojistkou jsou přístupové klíče (passkeys), které fungují jen na správné doméně; viz Passkeys.

Co dělat, když jste údaje zadali

1. Okamžitě změňte heslo na skutečném webu a zapněte dvoufázové ověření.
2. Pokud jste zadali údaje o kartě, volejte bance a nechte kartu zablokovat.
3. Zkontrolujte účty a sledujte nečekané transakce.
4. Nahlaste podvodný web: viz Kam nahlásit podvod (STOPonline, policie).
5. Uložte důkazy: adresu webu a snímek obrazovky.

Další informace o rozpoznání falešných stránek: E-Bezpečí, Stop online a Policie ČR.

Jak číst adresu v mobilu

V mobilním prohlížeči se adresa často zkracuje, takže vidíte jen začátek a skrytý zbytek může obsahovat něco jiného. Klepněte do adresního řádku, aby se zobrazila celá adresa, a zkontrolujte doménu. U aplikací, které otevírají odkazy ve vlastním okně (například v sociálních sítích či e-mailu), adresu často neuvidíte vůbec; v takovém případě nezadávejte citlivé údaje a otevřete věc v hlavním prohlížeči ručně zadanou adresou. Na mobilu také snadno kliknete na odkaz neúmyslně, proto je rozumné dvakrát přemýšlet před každým klepnutím na odkaz ze zprávy.

Nejčastější triky podvodných webů

Podvodníci používají několik osvědčených postupů: nafouknutou stránku se zdánlivě reálnou přihlašovací obrazovkou, časový odpočet („nabídka končí za 10 minut“), falešné recenze a certifikace, kopii skutečného webu s drobně pozměněnou adresou a žádost o údaje, které skutečná služba nepotřebuje, třeba CVC kód při přihlášení do banky. Pokud web chce víc údajů, než je obvyklé, zastavte se. Také nechte pracovat zdravý rozum: velké slevy, nereálné výnosy a naléhavost bývají signály podvodu. Pamatujte, že žádný důvěryhodný provozovatel vás nenutí rozhodovat v minutách.

Kdy se nechat poradit

Pokud si nejste jisti, zda je web pravý, požádejte o pomoc zkušeného známého, zavolejte provozovateli na číslo z oficiálního zdroje nebo využijte poradnu pro seniory či spotřebitelskou poradnu. Ptát se je v pořádku a nikdo vás za to nebude soudit. Lepší je ztratit pár minut ověřováním než peníze a údaje.

Praktický příklad (smyšlený)

Hana dostane SMS „Vaše zásilka je zadržena, doplaťte clo“. Odkaz neotevře. Do vyhledávače napíše název dopravce a otevře oficiální web, kde o zásilce nic nenajde. Zprávu nahlásí a smaže. O týden později ji napadne podobný trik s „vrácením daně“; pamatuje si, že adresu zadává sama. Příklad je smyšlený.

Kontrolní seznam – vlastní infografika

Ověření webu v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn – vlastní infografika

Související články

V kategorii Podvody a sociální inženýrství najdete také QR kód podvody (quishing) a Jak rozpoznat podvodný e-mail.

Shrnutí

Pravost webu neověříte zámkem, ale doménou. Adresu zadávejte ručně nebo ze záložky, porovnejte ji s oficiální (například u ČSSZ jen cssz.gov.cz a eportal.cssz.cz) a pečeť si otevřete. Ikona Nezabezpečeno a červená obrazovka Nebezpečné jsou důvod web opustit. Použijte správce hesel nebo passkeys a při zadání údajů na falešném webu volejte bance a změňte hesla.

Často kladené otázky k ověření pravosti webu