Cómo comprobar si una página web es segura antes de usarla

Una página puede tener un diseño impecable, un candado junto a la dirección y opiniones entusiastas, y aun así no ser el lugar adecuado para introducir una contraseña o una tarjeta. También puede parecer anticuada y ser perfectamente legítima. Para comprobar si una página web es segura hay que responder a dos preguntas distintas:

1. ¿La conexión protege lo que envío?
2. ¿Tengo motivos razonables para confiar en quien está al otro lado?

HTTPS ayuda con la primera. No resuelve por sí solo la segunda. La revisión correcta combina señales técnicas, identidad, coherencia y el riesgo de la acción que vas a realizar.

Decide primero qué está en juego

No necesitas la misma comprobación para leer una receta que para enviar el DNI. Cuanto más difícil sea reparar el daño, más pruebas debes exigir.

• Riesgo bajo: leer contenido público sin descargar nada ni aceptar permisos.
• Riesgo medio: crear una cuenta, suscribirse, permitir notificaciones o descargar un documento.
• Riesgo alto: pagar, introducir credenciales, instalar un programa, facilitar documentación o autorizar acceso al micrófono, la cámara o la ubicación.

Si una página desconocida te pide algo de riesgo alto, detente antes de rellenar el primer campo. No necesitas demostrar que es una estafa para marcharte: basta con que no puedas verificarla con una seguridad proporcionada a lo que solicita.

1. Lee la dirección completa, no el logotipo

El nombre grande que aparece en la cabecera lo controla el creador de la web. La barra de direcciones del navegador aporta una pista más útil. Haz clic o toca sobre ella para ver la URL completa y localiza el dominio real.

En https://cuenta.ejemplo.es/cliente, el dominio relevante es ejemplo.es; cuenta es un subdominio. En cambio, ejemplo.es.inicio-seguro.net pertenece a inicio-seguro.net, aunque las primeras palabras imiten una marca conocida.

Busca con calma:

• letras cambiadas, añadidas u omitidas;
• guiones o palabras como «acceso», «verificación» o «seguro» que intentan inspirar confianza;
• una terminación inesperada;
• caracteres que se parecen visualmente a otros;
• una cadena excesivamente larga que oculta el dominio entre subdominios y parámetros.

Si pretendes entrar en un banco, una administración o un servicio que ya utilizas, evita el enlace recibido. Escribe tú la dirección, usa un marcador guardado previamente o abre la aplicación oficial. Un resultado patrocinado tampoco demuestra por sí mismo que el destino sea legítimo.

2. Interpreta bien HTTPS y los avisos del navegador

Una dirección que empieza por https:// cifra la comunicación entre tu navegador y el servidor. Reduce el riesgo de que otra persona lea o modifique en tránsito los datos enviados. Para Chrome, el indicador de conexión informa precisamente sobre ese canal privado y recomienda comprobar además que el nombre de la web sea el correcto.

Esto explica por qué el candado no certifica la honradez del propietario. Una web fraudulenta también puede obtener un certificado y cifrar la contraseña que tú mismo le entregas. HTTPS es necesario para transmitir datos sensibles, pero no equivale a «empresa verificada» ni a «contenido verdadero».

Actúa así ante los avisos:

• Si el navegador indica «No es seguro», no introduzcas contraseñas, datos personales ni información de pago.
• Si muestra «La conexión no es privada», no uses el botón avanzado para continuar solo porque la página te urge. Puede haber un certificado caducado, un error de configuración o una interferencia en la conexión.
• Si aparece una pantalla de sitio peligroso, vuelve atrás. No desactives la protección para completar una operación.

La ausencia de un aviso no es una aprobación completa. Los sistemas automáticos pueden no conocer una web recién creada o una amenaza muy reciente.

3. Comprueba quién se responsabiliza

Una tienda o servicio que pretende cobrarte o tratar tus datos debería poder explicar quién opera la web y cómo contactar. Revisa el aviso legal, las condiciones, la política de privacidad y la página de contacto. No te limites a comprobar que esos enlaces existen: léelos y busca coherencia.

En una compra, el Centro Europeo del Consumidor en España recuerda que antes del pedido deben facilitarse, entre otros datos, la identidad y el contacto de la empresa, el precio total, el procedimiento de pago, la garantía y, cuando proceda, la información sobre desistimiento.

Una política de privacidad también debe ser concreta. La AEPD explica que, cuando se recaban datos, debe informarse de la identidad del responsable, las finalidades, la base jurídica y otros aspectos del tratamiento. Un texto genérico que menciona otra marca, otro país o un correo ajeno puede haber sido copiado.

Considera señales de alerta:

• no aparece ningún responsable identificable;
• solo hay un formulario y ningún canal que puedas conservar;
• el correo de contacto pertenece a un servicio gratuito sin relación con el dominio;
• las condiciones se contradicen con la oferta;
• la dirección, el teléfono o la empresa no coinciden entre páginas;
• los enlaces legales están vacíos, rotos o contienen marcadores de plantilla.

Ninguna señal aislada dicta sentencia. Un profesional pequeño puede usar un correo común, pero varias incoherencias reducen mucho la confianza.

4. Busca pruebas fuera de la propia página

Abre una pestaña nueva y busca el nombre exacto del dominio junto a términos como «opiniones», «fraude», «estafa» o «problemas». Distingue experiencias detalladas de reseñas repetidas y genéricas. Comprueba si organismos oficiales, medios reconocibles o la empresa supuestamente representada mencionan ese dominio.

También puedes consultar el estado del sitio en Google Navegación Segura. Esta herramienta contrasta direcciones con recursos que Google ha identificado como peligrosos. Un resultado negativo es útil, pero no garantiza que el negocio cumpla, entregue un producto o proteja correctamente todos tus datos: solo significa que el sistema no muestra esa detección en ese momento.

No pegues en verificadores desconocidos enlaces privados que contengan identificadores de sesión, restablecimientos de contraseña o datos personales. Si vas a comprobar una dirección, elimina primero todo lo que haya después del dominio cuando sea posible.

5. Evalúa lo que la web intenta que hagas

La conducta de la página importa tanto como su aspecto. Desconfía si:

• afirma haber detectado un virus y exige instalar un limpiador;
• bloquea la salida con ventanas insistentes;
• pide habilitar notificaciones para demostrar que «no eres un robot»;
• solicita una extensión, un perfil de configuración o control remoto sin una razón verificable;
• obliga a iniciar sesión con la cuenta de correo para ver un archivo inesperado;
• reclama más datos de los necesarios para la tarea;
• usa una cuenta bancaria, criptomonedas, tarjetas regalo o un medio irreversible sin alternativa razonable;
• impone una cuenta atrás o amenaza con perder dinero inmediatamente.

No concedas permisos por inercia. Una calculadora no necesita el micrófono; una tienda normal no necesita controlar tu pantalla. Si una función legítima requiere un permiso, la web debe explicar para qué y permitirte decidir.

Con las descargas, busca el documento o programa desde la web oficial del desarrollador. Revisa nombre y extensión del archivo antes de abrirlo y respeta los avisos del sistema o del antivirus. Un botón grande de «Descargar» puede ser publicidad, mientras el enlace real aparece en otro lugar.

6. Antes de pagar, vuelve a empezar la comprobación

Una tienda fiable puede derivar a una pasarela de pago legítima. También es posible que una página manipulada te lleve a un formulario falso. Cuando cambie la pantalla de pago, vuelve a leer el dominio y comprueba que la cantidad y el comercio coinciden.

El precio total debe estar claro antes de confirmar. Revisa gastos, renovación automática, devolución y forma de contacto. Prefiere un medio de pago que permita reclamar y evita guardar la tarjeta en una web que usarás una sola vez. Nunca envíes por correo o chat una fotografía de la tarjeta ni códigos de autenticación.

Una rebaja extraordinaria no es una prueba técnica, pero sí una razón para elevar el nivel de comprobación. Compara el precio con el mercado. La hoja de ruta de INCIBE propone precisamente contrastar dominio, precios, información legal, opiniones y métodos de pago antes de comprar.

Una decisión rápida en 60 segundos

Cuando no quieras hacer una investigación completa, sigue esta secuencia:

1. Mira el dominio completo y compáralo con el que esperabas.
2. Si hay aviso de seguridad, no continúes.
3. Comprueba si la petición es proporcional al servicio.
4. Busca responsable, contacto y condiciones coherentes.
5. Contrasta el dominio fuera de la web.
6. Si vas a pagar, verifica de nuevo URL, importe y medio de reclamación.

Cuantas más dudas acumules, menos sentido tiene «probar a ver qué pasa». Cierra la pestaña y llega al servicio por un canal independiente.

Si ya has usado una web sospechosa

Haber abierto una página no implica automáticamente que el dispositivo esté infectado. El siguiente paso depende de lo que hiciste:

• Solo la visitaste: cierra la pestaña, no aceptes notificaciones y actualiza navegador y sistema.
• Introdujiste una contraseña: cámbiala desde la web auténtica; si la reutilizabas, cambia también las demás y activa la verificación en dos pasos.
• Facilitaste datos bancarios: contacta de inmediato con la entidad mediante su número oficial y revisa movimientos.
• Descargaste o instalaste algo: desconecta la acción, analiza el dispositivo con sus herramientas de seguridad y busca ayuda si concediste control remoto.
• Entregaste documentación: guarda pruebas y vigila usos indebidos; valora denunciar según lo ocurrido.

Conserva URL, capturas, mensajes, justificantes y horas aproximadas, sin volver a entrar para «recoger más pruebas» si eso aumenta el riesgo. En España, el servicio 017 de INCIBE ofrece orientación en ciberseguridad.

Una web segura no se reconoce por un detalle mágico. Se reconoce porque dirección, conexión, identidad y comportamiento cuentan la misma historia, y porque lo que pide guarda relación con lo que ofrece.