theHarvester: o coletor de OSINT que mapeia e-mails, subdomínios e vazamentos de um domínio

O que é

theHarvester é uma ferramenta open source de OSINT (Open Source Intelligence, inteligência de fontes abertas) escrita em Python que coleta informações públicas sobre um domínio ou organização em uma única execução: e-mails, subdomínios, hosts, IPs, ASNs (Autonomous System Numbers, identificadores de redes autônomas na internet), URLs, nomes de pessoas e nomes de vazamentos. Criado por Christian Martorella em 2010, o projeto soma mais de 17 mil estrelas e quase 5 mil commits no GitHub (plataforma de hospedagem e colaboração de código), é mantido por Jay Townsend e Matt Brown e vem pré-instalado no Kali Linux (distribuição Linux voltada para testes de segurança ofensiva). O nome é um trocadilho com harvest — colheita: a ferramenta "colhe" o que já está plantado na internet aberta, consultando motores de busca, logs de transparência de certificados, bases DNS, repositórios de código, plataformas de threat intelligence (coleta e análise de informações sobre ameaças) e serviços de vazamentos. Ela é a ferramenta clássica da primeira fase de um pentest autorizado: o reconhecimento.

Principais características

O theHarvester não é um scanner: por padrão, ele atua de forma passiva, consultando APIs e páginas públicas de terceiros em vez de tocar diretamente no alvo. Cada fonte retorna o que conhece sobre o domínio, e a ferramenta normaliza, deduplica e registra a proveniência de cada resultado — ou seja, qual fonte trouxe cada item — em formatos estruturados para automação e evidência.

O catálogo de fontes suportadas cobre praticamente toda a superfície pública de um domínio, como resume a tabela abaixo com as principais:

Uma observação importante sobre essa lista: ela evolui entre versões. Buscadores clássicos como Google e Bing, além dos módulos de LinkedIn e de servidores PGP (Pretty Good Privacy, protocolo de criptografia de e-mail baseado em pares de chaves públicas e privadas — os servidores PGP são repositórios públicos onde usuários publicam suas chaves), fizeram parte de versões anteriores e ainda aparecem em muitos tutoriais; as versões atuais, porém, priorizam APIs e logs estruturados, mantendo buscadores como Baidu (o maior buscador da China), DuckDuckGo (buscador focado em privacidade), Yahoo e Brave. Na prática, o que importa é a cobertura combinada: a transparência de certificados (sistema público de logs em que todo certificado TLS emitido é registrado — o TLS é o protocolo que criptografa a comunicação na web) tende a ser a fonte mais rica de subdomínios, enquanto buscadores e serviços especializados capturam e-mails.

Casos de uso práticos

Primeira varredura passiva de um domínio. O fluxo começa instalando a ferramenta e rodando uma coleta inicial com fontes que não exigem chave de API. Para os exemplos abaixo, usamos o domínio fictício empresa-exemplo.com.br — troque pelo domínio que você tem autorização para testar:

python3 -m venv .venv
source .venv/bin/activate
pip install theHarvester
theHarvester -d empresa-exemplo.com.br -b crtsh,certspotter,duckduckgo -l 500

A flag -d define o domínio-alvo, -b lista as fontes separadas por vírgula e -l limita a quantidade de resultados por fonte (o padrão é 500). Sem nenhuma chave, crt.sh, CertSpotter e DuckDuckGo já entregam uma primeira camada de subdomínios e e-mails.

Cobertura total de subdomínios. Em seguida, para esgotar o que as fontes públicas conhecem sobre o domínio, use os seletor de capacidade -b subdomains, que roda todas as fontes que contribuem subdomínios de uma vez:

theHarvester -d empresa-exemplo.com.br -b subdomains -l 500

O seletor equivalente -b all executa todas as fontes passivas do catálogo — útil para uma visão completa, porém mais lento e sujeito a cotas dos provedores. Cada fonte controla a própria disponibilidade e limites, então é normal que uma coleta grande termine com algumas fontes marcadas como parciais.

Descoberta de e-mails corporativos e pessoas. A coleta de e-mails é onde o theHarvester brilha para avaliações de exposição e campanhas de conscientização: fontes como Hunter.io (serviço de descoberta de e-mails profissionais), tomba, Baidu e Dehashed (serviço comercial que indexa dados de vazamentos) revelam padrões de endereços e nomes de funcionários:

theHarvester -d empresa-exemplo.com.br -b hunter,tomba,baidu,dehashed -l 300

Cada e-mail encontrado é uma porta de entrada potencial para spear phishing (campanha de phishing direcionada a pessoas ou grupos específicos) — e é exatamente por isso que essa mesma coleta, feita pelo próprio time de segurança, serve para medir a exposição real da empresa antes que um atacante o faça.

Verificação de vazamentos. Para saber em quais bases vazadas o domínio aparece, as fontes de breaches entram em cena:

theHarvester -d empresa-exemplo.com.br -b haveibeenpwned,leaklookup -l 100

O Have I Been Pwned (serviço de Troy Hunt que cataloga vazamentos de dados) retorna nomes de vazamentos sem exigir chave; LeakLookup detalha e-mails e vazamentos específicos. É o ponto de partida para estimar quantas credenciais corporativas já circulam publicamente.

Enriquecimento com resolução DNS e checagem de takeover. Por fim, com a lista de subdomínios em mãos, é possível ativar as ações de DNS e validação — que são ativas e exigem escopo autorizado:

theHarvester -d empresa-exemplo.com.br -b crtsh -r -t -f relatorio

A flag -r resolve os subdomínios para IPs, -t verifica takeovers (situação em que um subdomínio aponta para um serviço de terceiros descontinuado e pode ser reivindicado por um atacante) e -f salva o relatório em JSONL, JSON e XML. Os IPs e hosts mapeados alimentam a fase seguinte do engajamento, como a varredura ativa com o Nmap (ferramenta de varredura de rede e descoberta de serviços). Para automação, os arquivos JSONL se integram bem a pipelines: o jq (ferramenta de linha de comando para processar JSON) extrai cada tipo de resultado com uma linha:

jq -r 'select(.type == "email") | .value' relatorio.jsonl
jq -r 'select(.type == "hostname") | .value' relatorio.jsonl

Como se defender e riscos

O theHarvester não inventa nada: ele só encontra o que já está público. Isso torna a defesa mais honesta — e mais difícil — porque o problema não é a ferramenta, é a exposição que ela documenta. A contrapartida começa por reduzir o que o mundo consegue colher.

Redução da exposição de e-mails. Publicar endereços funcionais (contato@, suporte@, vendas@) em vez de e-mails pessoais de funcionários, remover assinaturas com endereços individuais de documentos e PDFs públicos e usar alias por função (rh@, dev@, financeiro@) corta a matéria-prima que alimenta o phishing direcionado. E-mails que precisam existir em público devem ser monitorados e protegidos com filtros antiphishing.

Monitoramento contínuo da própria superfície. Rodar o theHarvester contra o próprio domínio periodicamente — e comparar as execuções com a ferramenta harvest-yields, que acompanha o projeto justamente para medir a variação de resultados entre coleta e coleta — transforma a ferramenta em sistema de alerta: um subdomínio ou e-mail novo que aparece sem justificativa é sinal de shadow IT (infraestrutura criada sem o conhecimento da área de TI) ou de documento interno vazado.

Gestão de subdomínios e DNS. Subdomínio esquecido é superfície de ataque e candidato a takeover: manter inventário atualizado dos registros DNS, remover entradas órfãs, habilitar DNSSEC (extensão do DNS que autentica as respostas por assinatura digital) e monitorar os certificados emitidos para o domínio nos logs de transparência reduz drasticamente o que uma varredura de subdomínios encontra.

Tratamento de vazamentos como incidente. Quando a coleta aponta que o domínio aparece em uma base vazada, o caminho é o de resposta a incidente: identificar qual base vazou e quais contas são afetadas, forçar troca de senhas, exigir autenticação multifator (MFA), monitorar a circulação dos dados e, havendo dados pessoais envolvidos, comunicar conforme a LGPD (Lei Geral de Proteção de Dados brasileira). E-mails corporativos em vazamentos antigos costumam ser a senha de entrada de ataques de reutilização de credenciais.

Escopo, termos de uso e legalidade. O uso passivo de fontes públicas é legal e a ferramenta é amplamente usada em red team e blue team (equipes de ataque e de defesa em exercícios de segurança), mas contra domínios de terceiros sem autorização viola leis de acesso não autorizado e os termos de serviço das plataformas consultadas, além de poder caracterizar invasão de dispositivo no Brasil. A regra é simples e vale para toda a categoria: execute apenas contra ativos próprios ou com autorização explícita e documentada por escrito.

Conclusão

O theHarvester consolidou-se como a ferramenta de entrada do OSINT de domínios porque resolve um problema que parece simples, mas não é: saber tudo o que já está público sobre uma organização — e-mails, subdomínios, pessoas, IPs e vazamentos — sem fazer um único contato direto com o alvo. Em minutos, uma execução passiva entrega a matéria-prima que um atacante usaria para phishing direcionado e que um pentester usaria para mapear a superfície de ataque; e é exatamente essa dualidade que a torna indispensável também para a defesa, que pode — e deve — colher os mesmos dados antes do adversário. A ferramenta não cria o risco: ela apenas aponta onde ele já estava visível, e a defesa eficaz começa por olhar para o próprio reflexo antes que o outro lado o faça.

Fontes e leituras adicionais

• GitHub — laramies/theHarvester — repositório oficial — 04/09/2026
• GitHub Wiki — theHarvester Wiki — documentação oficial — 04/09/2026
• Kali Linux — theharvester — Kali Linux Tools — 04/09/2026
• Sherlockeye — theHarvester: The Complete 2026 Guide to OSINT Reconnaissance, Email Harvesting, and Subdomain Discovery — 01/06/2026
• Zero Day Security — Shodan: o motor de busca que enxerga tudo o que está conectado à internet — 04/09/2026