Para saber si un código QR es seguro, mira lo que contiene antes de que tu móvil haga algo con él. Sube una foto o una captura del código a nuestro lector de códigos QR gratis y verás el texto en bruto: el enlace completo, o la red wifi, el SMS o el contacto que activaría. Después revisa tres cosas: el dominio real al final del nombre del host, adónde redirige de verdad cualquier enlace acortado y si el código parece pegado encima de otro. El lector es gratis, no pide cuenta y decodifica la imagen en tu navegador, así que no se abre ni se sube nada.
Los ejemplos de abajo salen de pruebas que hicimos en las herramientas reales el 1 de noviembre de 2026, con códigos QR creados para este artículo. Las direcciones falsas usan el dominio reservado .example, así que no llevan a ningún sitio.
Cómo revisar un código QR antes de escanearlo, paso a paso
- Consigue una imagen del código. Hazle una foto con la app de cámara (una foto no abre nada) o una captura si el código está en un correo, un PDF o un mensaje.
- Decodifícalo sin abrirlo. Sube la imagen al lector de códigos QR. Muestra el texto exacto guardado en el código, nada más.
- Identifica qué tipo de código es. Un enlace empieza por
https://ohttp://. También hay códigos que empiezan porWIFI:,SMSTO:,tel:,mailto:oBEGIN:VCARD, y cada uno hace que el móvil haga algo distinto. - Encuentra el dominio real. Pega el enlace en el analizador de URL y lee la fila Host de derecha a izquierda. La parte justo antes de la terminación (
.com,.es,.gob.ar) es con quién estás tratando de verdad. - Expande los enlaces cortos. Si el enlace usa un acortador o el dominio de un servicio de QR, pásalo por el verificador de redirecciones para ver cada salto y la página final.
- Revisa el código físico. Busca una pegatina sobre un código impreso, bordes que no encajan o dos códigos muy juntos.
- Decide. Si algo no cuadra, no lo abras. Para pagos y accesos a cuentas, escribe tú la dirección de la empresa o usa su app oficial.
Pruébalo ahora: haz una captura de cualquier QR que tengas en pantalla y súbela al lector de códigos QR gratis. Verás todo su contenido en un segundo, sin que el móvil abra el enlace.
Lo que mostró nuestro lector con cinco códigos de prueba
Ejemplo 1: un enlace de pago que imita a PayPal
Codificamos https://www.paypal.com.account-verify.example/signin?session=8841, el tipo de dirección que usaría un falso aviso de «tu pago ha fallado». El lector devolvió el enlace completo y el analizador de URL lo separó así:
| Fila | Valor |
|---|---|
| Esquema | https |
| Host | www.paypal.com.account-verify.example |
| Ruta | /signin |
| Consulta | session=8841 |
El host empieza por www.paypal.com, pero eso es solo una etiqueta a la izquierda. Leído desde la derecha, el dominio real es account-verify.example. Quien controla ese dominio puede poner delante la etiqueta que quiera, incluido el nombre de una marca. Una vista previa en el móvil que muestre solo los primeros 30 caracteres enseñaría www.paypal.com.account-verif..., y por eso conviene ver el host entero.
Ejemplo 2: un enlace corto con tres saltos
Un enlace acortado esconde el destino, así que un QR que lleva uno no te dice nada hasta que lo expandes. Pasamos el enlace corto https://amzn.to/3QOBRdb por el verificador de redirecciones:
| # | URL | Código de estado |
|---|---|---|
| 1 | https://amzn.to/3QOBRdb | 302 |
| 2 | http://www.amazon.com | 301 |
| 3 | https://www.amazon.com/ | 200 |
La cadena termina en www.amazon.com con un 200, así que sabes adónde va antes de abrirlo. Los códigos de estado están explicados en nuestra guía para revisar redirecciones 301 y 302.
Una limitación que debes conocer: nuestro verificador de redirecciones ahora mismo solo sigue saltos 301 y 302. Al probar https://youtu.be/dQw4w9WgXcQ mostró una sola fila con estado 303 y sin destino. Si la última fila no es un 200, la cadena no ha terminado. Pega el mismo enlace en la consulta de encabezados HTTP: mostró HTTP/2 303 y una fila location con https://www.youtube.com/watch?v=dQw4w9WgXcQ&feature=youtu.be. Algunos sitios redirigen además con una dirección relativa (solo una ruta, sin dominio), y entonces el verificador avisa de que no pudo obtener datos. La consulta de encabezados también funciona en ese caso.
Ejemplo 3: un código de wifi
El lector devolvió WIFI:T:WPA;S:Cafe Guest;P:espresso2026;;. No es un enlace: le dice al móvil que se conecte a una red WPA llamada Cafe Guest con la contraseña espresso2026. Comprueba que el nombre de la red coincide con el que usa de verdad el local. Un código en una mesa puede ofrecerte igual de fácil una red que controla otra persona, y todo lo que hagas en ella pasa por su equipo.
Ejemplo 4: un código de SMS
SMSTO:+15555550123:JOIN abre la app de mensajes con un SMS al +1 555-555-0123 que dice JOIN. Enviarlo confirma tu número a quien tenga esa línea y puede darte de alta en algún servicio. El INCIBE recoge en su servicio 017 el caso real de una usuaria a la que se le activó una suscripción premium no solicitada tras escanear el QR del menú de un restaurante. Si no esperabas mandar ningún mensaje, cierra el borrador.
Ejemplo 5: dos códigos en la misma foto
Los QR falsos suelen imprimirse como pegatinas que se colocan encima del original o al lado. Pusimos dos códigos juntos en una imagen: un enlace de pago de aparcamiento y el enlace falso del ejemplo 1. El lector respondió No se encontró ningún código QR en esta imagen. El mensaje también da consejos para hacer una foto mejor. Busca un solo código por imagen, así que se rindió. Al recortar cada mitad y subirlas por separado, leyó https://parking.example-city.gov/pay?zone=214 y el enlace que imita a PayPal. Dos códigos que apuntan a dominios distintos en el mismo cartel son una señal clara de que uno se añadió después.
¿Qué tan fiable es el lector con fotos reales?
También comprobamos cuánto tolera. Todos estos se leyeron bien:
| Imagen de prueba | Resultado |
|---|---|
| Cartel de «paga el aparcamiento» de 1600 × 1200 con un código pequeño en una esquina | Leído |
| Código girado 17°, desenfocado y guardado como JPG de baja calidad | Leído |
| Código diminuto de 66 × 66 píxeles | Leído |
| Código sin margen blanco alrededor | Leído |
| Código azul claro sobre blanco (contraste 1,81:1) | Leído |
| Código blanco sobre fondo negro | Leído |
| Dos códigos distintos en una imagen | No se encontró ningún código QR (recorta cada uno) |
Vigilamos la actividad de red del navegador durante la decodificación y la imagen no se envió a ningún sitio. Importa si el código está en una entrada o en un documento con datos personales.
Señales de alarma cuando ya ves lo que hay dentro
- Un nombre de marca que no es el dominio real.
paypal.com.account-verify.examplepertenece aaccount-verify.example. Fíjate también en letras cambiadas, comopaypa1ornicrosoft. - Un enlace corto en algo oficial. Un parquímetro o una factura que esconde su dirección tras un acortador merece una expansión antes de pagar.
- Una página de acceso o de pago que no pensabas visitar. El aviso del FBI de enero de 2022 sobre códigos QR manipulados desaconseja pagar en una web a la que llegaste por un QR. Escribe tú una dirección conocida.
- Una descarga directa de una app. El mismo aviso recomienda instalar apps solo desde la tienda oficial del móvil, no desde un QR, y no descargar apps lectoras de QR aparte, porque la mayoría de móviles ya leen códigos con la cámara.
- Prisa. Paquetes que no se pudieron entregar, problemas con tu cuenta, actividad sospechosa que exige cambiar la contraseña: son las historias de siempre para que escanees sin pensar.
Errores en los que cae gente cuidadosa
- Dar por buena para siempre la revisión de hoy. Muchos servicios de QR imprimen un enlace corto en su propio dominio en lugar de tu destino, y el dueño puede cambiar adónde apunta cuando quiera. Al abrir
https://qrco.de/, un dominio que usa uno de los grandes generadores de QR, redirigió al centro de ayuda de esa empresa. Un código que estaba bien la semana pasada puede apuntar hoy a otro sitio. - Suponer que todos llegan a la misma página. Seguimos el enlace corto de Microsoft
https://aka.ms/terminaldesde dos lugares. Desde Argentina, el segundo salto fue a una página/es-ar/; desde nuestro servidor, a/en-us/. Las redirecciones pueden depender del país, el idioma o el dispositivo, así que un resultado limpio demuestra adónde fue el enlace para el verificador, no para todo el mundo. - Mirar el dominio pero no su antigüedad. Un dominio con buena pinta registrado la semana pasada es una señal de alerta. Pásalo por la consulta Whois y la consulta SSL. Nuestra guía sobre cómo saber si una página web es confiable explica la rutina completa.
Si ya abriste un QR malicioso
Deja de interactuar con la web, cambia enseguida cualquier contraseña que hayas escrito (en todos los sitios donde la repetías) y revisa los movimientos de tu tarjeta y tu banco. Si diste datos de pago, llama a tu banco para bloquear la tarjeta y denuncia ante la policía. En España, el servicio gratuito y confidencial Tu Ayuda en Ciberseguridad del INCIBE atiende en el 017 de 8:00 a 23:00 todos los días. Si repetías esa contraseña, nuestra guía para crear una contraseña segura y el generador de contraseñas te ayudan a sustituirla rápido.
¿Tienes un negocio que imprime códigos QR? Crea los tuyos con el generador de códigos QR, haz que apunten directamente a tu dominio real en lugar de a un enlace corto de terceros y revisa tus carteles de vez en cuando por si alguien pegó algo encima.
Preguntas frecuentes
¿Se puede saber si un QR es seguro sin escanearlo?
Sí. Hazle una foto o una captura y súbela a un lector de QR que solo decodifique la imagen. Verás el enlace o la orden completa sin que el móvil la abra, y después revisas el dominio y las redirecciones.
¿Escanear un código QR puede hackear el móvil?
Leer el código solo le da al móvil un texto. El riesgo está en lo que haces después: abrir un acceso falso, meter datos de pago, instalar una app, conectarte a una wifi o enviar un SMS. Mantén además el sistema del móvil actualizado.
¿Cómo veo adónde lleva el enlace de un QR?
Decodifícalo con el lector de códigos QR y pega el enlace en el verificador de redirecciones. Si la última fila no es un 200 (por ejemplo, un 303), usa la consulta de encabezados HTTP y mira la fila location.
¿Por qué el lector dice que no encontró ningún código QR?
Puede que la imagen tenga dos códigos, algo que el lector no resuelve en una sola imagen, o que el código esté cortado o muy borroso. Recorta un único código y vuelve a probar. En nuestras pruebas se leyeron códigos girados, borrosos, diminutos y sin margen. Los códigos pálidos o invertidos ya no son un problema: desde el 1 de noviembre de 2026 el lector reintenta automáticamente con copias de la imagen con más contraste e invertidas.
¿Un QR con enlace corto es siempre una estafa?
No. Muchos negocios legítimos usan acortadores o servicios de QR para medir visitas. Solo significa que no puedes juzgar el destino hasta expandir el enlace, y que el dueño puede cambiarlo más adelante.
¿El lector de códigos QR es gratis?
Sí. Es gratis, no pide cuenta y decodifica la imagen en tu navegador sin subirla. Los visitantes tienen 5 usos de herramientas al día, y una cuenta gratuita de My Botsy (100 % gratis, sin spam) quita ese límite.
¿Tienes un código del que no te fías? Abre el lector de códigos QR gratis, sube una foto o una captura y mira exactamente qué haría antes de que lo haga tu móvil.
