Cómo saber si un enlace es seguro antes de abrirlo

La mayoría de los enlaces peligrosos llegan dentro de un mensaje montado para parecer de un banco, de una tienda o de un organismo público. Ese engaño entero está en qué es el phishing. Este artículo va solo del enlace: cómo se lee una dirección, qué trucos esconden adónde lleva y qué te puede decir, y qué no, un analizador de enlaces.

Las partes de una dirección web

Antes de abrir un enlace, busca la parte que empieza después de https:// y termina en la primera barra. Ahí está el dominio. Todo lo que va después de la barra puede apuntar a una página de dentro del sitio, pero no cambia quién controla la dirección.

Las direcciones de los ejemplos de este artículo están inventadas. En cuenta.tienda-ejemplo.es/acceso, el dominio es tienda-ejemplo.es. En tienda-ejemplo.es.otro-sitio.net, la dirección es de otro-sitio.net. Una palabra conocida puesta delante se lleva la mirada lejos de la parte que de verdad decide dónde acabas.

En España lo normal es ver dominios terminados en «.es» y en «.com», y las páginas de la Administración terminan en «.gob.es». También hay terminaciones propias de algunas comunidades, como «.cat», «.gal» y «.eus». Ninguna de ellas es un sello de confianza por sí misma: lo que hay que comparar es el dominio entero con la dirección oficial que conoces.

Encuentra el dominio de verdad

Léelo despacio y busca letras cambiadas, palabras de más, guiones inesperados y una terminación distinta de la habitual. Una dirección casi igual a la original puede llevar a una página hecha para copiar el aspecto de un servicio que ya usas.

El INCIBE lo aborda desde el otro lado en su página sobre el phishing: el mensaje cuenta una historia sobre algo corriente, un paquete retenido, una cuenta bloqueada, un pago que ha fallado, y esa historia existe para llevarte al enlace. Si no conoces ya la dirección oficial, búscala por tu cuenta en vez de tomar el mensaje como referencia.

Trucos que esconden adónde va un enlace

Algunas direcciones están montadas para alguien que lee con prisa. Los ejemplos de abajo usan la terminación «.example», reservada para ejemplos y sin ninguna web real detrás.

• La arroba en mitad de la dirección. En https://[email protected]/tv, todo lo que va antes de la arroba se trata como un nombre de usuario y se ignora al abrir la página. El navegador va a ofertas-flash.example. El truco es viejo y sigue funcionando porque el navegador no se equivoca: la dirección está escrita así de verdad, y el nombre conocido de delante está ahí solo para que lo lea una persona.
• Letras de otro alfabeto que se ven igual. La «а» cirílica se dibuja igual que la «a» que estás leyendo, pero para un ordenador es otra letra, así que la dirección es otra dirección. Para ponerlo difícil, Chrome enseña la dirección en una forma rara que empieza por xn-- cuando detecta una mezcla de alfabetos sospechosa, según la documentación de Chromium. Una dirección que aparece así en la barra merece una segunda mirada.
• La marca usada como subdominio. En banco.example.atencion-cliente.example, el nombre conocido está delante, pero el dueño de la dirección es atencion-cliente.example.

Ver el destino antes de abrirlo

En el ordenador, deja el cursor sobre el enlace sin hacer clic y lee la dirección que aparece en una esquina de la pantalla. La ayuda de Gmail recomienda justo eso: si la dirección no encaja con lo que el enlace dice ser, puede llevar a una web falsa.

En el móvil, mantén el dedo sobre el enlace, sin soltar, hasta que salga la dirección completa o un menú que la enseñe. En algunos teléfonos ese mismo gesto abre además una vista previa de la página. Si pasa eso, no toques nada dentro de la vista previa, y si te preocupa abrirlo sin querer, deja el enlace en paz y busca tú el servicio.

Un enlace que llega por SMS o por chat

En una aplicación de mensajería, un enlace suele llegar con una vista previa: una imagen y un titular. Esa vista previa se construye con datos de la propia página, y quien monta una web falsa elige el titular y la imagen que aparecen ahí. No te dice nada sobre de quién es la dirección.

Un enlace mandado por alguien conocido merece la misma lectura, porque esa cuenta puede estar robada, o esa persona puede haberlo reenviado sin comprobarlo. Si el asunto tiene que ver con dinero o con datos personales, llama a esa persona al número que ya tenías. En un SMS el nombre del remitente también se puede imitar, y eso está en qué es el smishing.

Enlaces acortados y códigos QR

Un acortador cambia una dirección larga por una corta, del tipo ir-corto.example/x7K2, y esconde el destino hasta que el enlace se abre. Las empresas de verdad también usan acortadores, así que un enlace corto no prueba nada por sí solo, pero sí te impide leer el dominio.

Un código QR funciona igual: es una dirección escrita de una forma que la cámara puede leer. Si el código aparece en una factura, en un cartel o en un mensaje que no esperabas, no uses la cámara para averiguar si es auténtico. Busca esa información en la aplicación o en la web que ya conoces. Es lo mismo que pasa con los códigos pegados encima de los de un parquímetro: el dibujo se cambia en dos segundos y la pantalla que se abre no tiene por qué ser la del servicio.

Lo que el candado no demuestra

Una dirección con https significa que la conexión entre tu navegador y esa web va cifrada, así que los datos viajan revueltos. Eso importa, pero una web falsa también puede tener https. No dice nada sobre si la empresa que aparece en la página es su dueña, si la oferta es real o si un pago llegaría a la persona correcta.

Puede que ya ni veas un candado. Desde la versión 117, de septiembre de 2023, Chrome sustituyó el candado de la barra de direcciones por un icono de ajustes en ordenador y en Android, y lo quitó en iPhone. El anuncio del equipo de Chromium explica el motivo: poca gente entendía qué significaba el candado, y casi todas las páginas falsas hechas para robar datos ya enseñaban uno. Cuando una conexión no está protegida, el navegador sigue avisando.

El aspecto tampoco lo resuelve. Copiar colores, fotos y textos de una página es fácil. Una web cuidada puede ser de otra persona, y una página legítima puede ser sosa.

Los analizadores de enlaces y hasta dónde llegan

Algunas webs comparan una dirección con listas de direcciones peligrosas ya conocidas. Copias el enlace, sin abrirlo, y lo pegas en el analizador.

La página de estado del sitio de Navegación Segura enseña si una dirección está marcada como peligrosa. VirusTotal explica que los resultados se comparten con sus socios y con su comunidad, y que el contenido enviado puede quedar al alcance de sus clientes de pago.

De ahí salen dos avisos. El primero: que no haya aviso no es lo mismo que una aprobación, porque solo significa que esa dirección todavía no ha llegado a las listas, y una web falsa creada ayer puede salir limpia. El segundo: no pegues un enlace que lleve información tuya dentro, como tu nombre, un número de cuenta, un código o una dirección para restablecer una contraseña, porque puede acabar a la vista de otras personas.

Cuándo es mejor no abrirlo

Nadie está obligado a analizar todos los enlaces que recibe. Si el mensaje va de un banco, de un envío, de una compra, de una ayuda o de una cuenta bloqueada, abre tú el servicio en vez de usar el enlace. Busca el problema dentro de tu propia cuenta y mira a nombre de quién iría cualquier pago. Si el enlace lleva a una tienda o a un formulario de alta, merece la pena averiguar quién está detrás antes de pagar, y eso es lo que recorre cómo detectar una web falsa.

Si ya lo has abierto

Si solo cargaste la página y no escribiste nada, ciérrala, y no descargues archivos ni aceptes avisos de permisos. Si metiste una contraseña, cámbiala entrando por la dirección oficial, y si usabas esa misma contraseña en otros sitios, cámbiala también allí. Si descargaste un archivo o permitiste una instalación, deja de hacer nada financiero en ese dispositivo hasta que alguien con conocimientos lo revise.

Si ya se ha movido dinero, llama a tu banco de inmediato y di que el pago fue un fraude, porque lo que se puede hacer depende muchísimo de la rapidez con la que avises. Un cargo de tarjeta se puede reclamar; una transferencia o un Bizum es mucho más difícil de recuperar. Si el banco no lo resuelve, puedes reclamar por escrito a su Servicio de Atención al Cliente y después al Banco de España, con los pasos de cómo realizar una reclamación.

Después denúncialo en la Policía Nacional o en la Guardia Civil, y reporta la dirección al INCIBE, para que se bloquee antes para otras personas. Si necesitas que te orienten mientras decides, la línea 017 del INCIBE es gratuita y confidencial. Y si alguien te amenaza o estás en peligro en ese momento, llama al 112.

Fuentes que hemos consultado

Las herramientas y el comportamiento de los navegadores descritos aquí se comprobaron el 22 de septiembre de 2026 en estas páginas:

• INCIBE: phishing
• INCIBE: reporte de fraude y línea de ayuda 017
• Google: estado del sitio de Navegación Segura
• VirusTotal: cómo funciona el servicio
• Blog de Chromium: el candado sustituido por un icono de ajustes
• Chromium: cómo enseña Chrome las direcciones con letras de otros alfabetos
• Ayuda de Gmail: evitar y denunciar correos de phishing
• Banco de España, Cliente Bancario: cómo realizar una reclamación
• Policía Nacional: denuncia por internet y Guardia Civil: denuncia electrónica

Las direcciones de los ejemplos están inventadas. Este artículo no da ninguna cifra.

Preguntas frecuentes sobre enlaces seguros