Cómo saber si una página web es confiable: 6 pasos gratis

Para saber si una página web es confiable, dedica dos minutos a cinco comprobaciones antes de escribir una contraseña o un número de tarjeta: lee con atención el nombre de dominio real, averigua qué antigüedad tiene el dominio con una consulta WHOIS, mira quién emitió su certificado con una consulta SSL, sigue cualquier enlace acortado o de seguimiento con un verificador de redirecciones para ver adónde lleva de verdad y pasa la dirección por el estado de sitios de Google Safe Browsing. Ninguna comprobación por sí sola demuestra que un sitio sea seguro, pero los sitios fraudulentos casi siempre fallan dos o tres a la vez. Esta guía recorre cada comprobación con herramientas gratuitas, explica qué significan los resultados y reúne las señales de alerta que más importan.

Por qué el candado no basta para saber si un sitio es seguro

Durante años nos dijeron que buscáramos el candado. Ese consejo está desactualizado. El candado (HTTPS) solo significa que la conexión entre tu navegador y el servidor está cifrada. No dice nada de quién está detrás del sitio ni de si es honesto. Cualquiera que controle un dominio puede obtener un certificado gratuito de forma automática en minutos, así que las páginas de phishing y las tiendas falsas usan HTTPS igual que las empresas reales.

Por eso, considera el HTTPS un mínimo, no un veredicto. En 2026, un sitio sin HTTPS es una señal de alerta para cualquier cosa que implique iniciar sesión o pagar, pero un sitio con HTTPS sigue necesitando las comprobaciones de abajo.

Lista rápida para comprobar si un sitio es confiable

Paso 1: lee el nombre de dominio real

La mayoría de los sitios falsos se descubren aquí mismo, porque la estafa depende de que no leas la dirección. Lo que importa es el dominio registrado: el nombre que va justo antes de la extensión (.com, .com.ar, .shop). Todo lo que está a su izquierda es un subdominio, y el dueño puede poner ahí lo que quiera.

• https://paypal.com.account-verify.help/login pertenece a account-verify.help, no a PayPal.
• https://secure-amazon-orders.net pertenece a quien haya registrado secure-amazon-orders.net. Meter el nombre de una marca en un dominio más largo no le cuesta nada a un estafador.
• https://www.example.com@login-check.io te lleva a login-check.io. Todo lo que va antes de la @ se trata como un nombre de usuario y se ignora.

Cuando un enlace es largo o confuso, pégalo en el analizador de URL. Separa la dirección en protocolo, host, ruta y cadena de consulta, para que veas el host real sin forzar la vista. Si el enlace está lleno de códigos del tipo %2F, decodifícalo primero con el decodificador de URL.

Ojo con las letras que se parecen

Algunos dominios usan caracteres de otros alfabetos que se ven idénticos a las letras latinas, por ejemplo una «а» cirílica en lugar de una «a» latina. Los navegadores guardan estos nombres internacionalizados en un formato llamado Punycode, que empieza por xn--. Si pegas un dominio sospechoso en el convertidor Punycode de IDN y se convierte en una cadena xn--, mientras que la marca que esperabas usa letras normales, no estás en el sitio real.

Paso 2: comprueba la antigüedad del dominio

Las tiendas falsas y las páginas de phishing suelen durar poco. Se registran, se usan en una campaña, alguien las denuncia y se abandonan. Por eso la antigüedad del dominio es una de las señales más útiles que puedes obtener en segundos.

1. Abre la consulta WHOIS y escribe solo el dominio, por ejemplo example-store.com.
2. Busca la fecha de creación. Una tienda que dice «atender clientes desde 2005» con un dominio creado el mes pasado está mintiendo en algo.
3. Mira la fecha de vencimiento. Las empresas consolidadas suelen renovar por varios años. Un dominio registrado por un año exacto no prueba nada, pero sumado a una fecha de creación muy reciente encaja con el patrón de una estafa.
4. Anota el registrador y los servidores de nombres. Todavía no hace falta que los juzgues; solo compáralos después con lo que la empresa dice de sí misma.

Hoy en día, la mayoría de los nombres y direcciones de los titulares están ocultos detrás de servicios de privacidad, y eso es normal. No consideres por sí solos los datos de contacto ocultos como una señal de alerta. Si quieres una segunda opinión oficial, la ICANN tiene su propia consulta de datos de registro en lookup.icann.org.

Paso 3: revisa el certificado SSL

El certificado no demuestra honestidad, pero puede delatar una configuración descuidada o falsa. Pasa el dominio por la consulta SSL y revisa tres cosas:

• ¿Es válido hoy? Un certificado vencido en un sitio que te pide un pago es motivo para irte.
• ¿Cubre exactamente este dominio? Los nombres que figuran en el certificado deberían incluir la dirección que estás visitando.
• ¿Qué dice el sujeto (subject)? La mayoría de los certificados son de validación de dominio y solo indican el dominio. Algunas empresas grandes usan certificados de validación de organización, que además muestran el nombre de la empresa. Si aparece y coincide con el negocio, es un pequeño punto a favor. Si no aparece, es normal y no es una señal de alerta.

Paso 4: sigue el enlace antes de hacer clic

Los mensajes fraudulentos suelen esconder el destino detrás de un acortador de URL, un enlace de seguimiento o una cadena de redirecciones. En lugar de hacer clic, pega el enlace en el verificador de redirecciones. La herramienta solicita la URL y te muestra cada salto con su código de estado, hasta la página final.

Ejemplo práctico

Supongamos que te llega un SMS que dice que tu paquete está retenido, con un enlace a una dirección acortada. El verificador de redirecciones muestra algo así:

https://short.example/aB3x          301
https://track-redirect.example/r?id=91   302
https://parcel-fee-payment.example/pay   200

El dominio final no tiene nada que ver con ninguna empresa de envíos real, y la última ruta pide un pago. Lo descubriste sin cargar la página en tu propio navegador. Si quieres entender mejor los códigos de redirección, consulta nuestra guía para revisar redirecciones 301 y 302.

Paso 5: mira dónde está alojado el sitio

El verificador de hosting te dice qué proveedor sirve el sitio. Úsalo para comprobar la coherencia, no como un veredicto. Las grandes marcas suelen funcionar en su propia infraestructura o en un gran proveedor de nube y CDN. Si un sitio dice ser un banco importante pero está en un hosting compartido barato, algo no cuadra. Si quieres más detalle, una búsqueda de IP muestra la red y la ubicación aproximada del servidor, y una consulta DNS enumera sus registros. Nuestra guía de registros DNS explica qué significa cada uno.

Paso 6: revisa el estado en Google Safe Browsing

Google ofrece un verificador gratuito del estado de los sitios en su Informe de Transparencia, en transparencyreport.google.com/safe-browsing/search. Escribe la dirección y te dirá si Google ha encontrado actualmente contenido peligroso en ella, como phishing o malware. Un resultado limpio solo significa que todavía no se ha detectado nada. Los sitios fraudulentos recién creados muchas veces aún no están marcados, y justamente por eso la comprobación de antigüedad del paso 2 es tan importante.

Señales de alerta en la propia página

Las comprobaciones técnicas de arriba descubren la mayoría de los sitios falsos. Estas señales en la página ayudan con el resto, sobre todo con las tiendas online falsas:

• Precios demasiado bajos en productos muy buscados, a menudo con una cuenta regresiva o un «solo quedan 2».
• Pago solo por transferencia bancaria, tarjetas de regalo, criptomonedas o una app de pagos sin protección al comprador.
• Sin datos de contacto reales: ninguna dirección física, solo un formulario web o un correo gratuito.
• Contenido copiado o genérico: páginas de políticas que mencionan otra tienda, textos legales mal traducidos o fotos de productos sacadas de otros sitios.
• Presión para actuar ya: «tu cuenta se cerrará hoy», «paga la tasa de aduana en menos de una hora».
• Páginas de inicio de sesión a las que llegaste desde un mensaje. Los servicios reales rara vez necesitan que inicies sesión desde un enlace enviado por correo. Escribe tú la dirección o usa un marcador.

Errores comunes al revisar un sitio

• Fiarte de las reseñas del propio sitio. Son fáciles de falsificar. Busca el nombre del dominio junto con «estafa» u «opiniones» en sitios independientes.
• Tomar una buena señal como prueba. Un dominio antiguo se puede comprar y un certificado válido es gratis. Busca que varias comprobaciones coincidan.
• Revisar el subdominio en lugar del dominio. Haz la consulta WHOIS sobre el dominio registrado, no sobre login.secure.brand.example.xyz.
• Reutilizar una contraseña en un sitio del que no estás seguro. Si tienes que crear una cuenta, usa una contraseña única. Nuestro generador de contraseñas crea una con un clic, y nuestra guía para crear una contraseña segura explica cómo gestionarlas.

Qué hacer si ya ingresaste tus datos en un sitio falso

1. Si escribiste una contraseña, cámbiala de inmediato en el sitio real y en cualquier otro sitio donde uses la misma. Activa la verificación en dos pasos.
2. Si ingresaste los datos de tu tarjeta, llama a tu banco o al emisor de la tarjeta al número que figura en el reverso y pide que la bloqueen y vigilen los cargos.
3. Denuncia la página a Google mediante el formulario de denuncia de phishing de Google Safe Browsing para que se advierta a otras personas. Denuncia también la estafa ante la policía o la autoridad de protección al consumidor de tu país. En España puedes pedir ayuda a INCIBE llamando al 017, y en Estados Unidos puedes denunciar estafas ante la FTC en ReportFraud.ftc.gov.

Preguntas frecuentes

¿El HTTPS significa que una página web es confiable?

No. El HTTPS solo significa que la conexión está cifrada. Cualquiera que controle un dominio puede obtener un certificado gratuito, así que los sitios fraudulentos también usan HTTPS. Tómalo como un requisito mínimo y luego revisa el nombre de dominio, su antigüedad y las redirecciones.

¿Cómo puedo saber qué antigüedad tiene una página web?

Escribe el dominio en una consulta WHOIS y mira la fecha de creación. Un sitio que presume años de historia con un dominio registrado hace unas semanas es una señal de alerta fuerte.

¿Es seguro revisar un enlace sospechoso con un verificador de redirecciones?

Es mucho más seguro que hacer clic, porque el verificador solicita la URL desde su propio servidor y solo te muestra los saltos y la dirección final. Aun así, no abras la página final si algo no te cuadra.

¿Que los datos WHOIS estén ocultos es señal de estafa?

No por sí solo. Hoy la mayoría de los dominios usan protección de privacidad, incluidos muchos negocios legítimos. Céntrate en la fecha de creación y en si las demás comprobaciones coinciden.

¿Qué significa xn-- en un nombre de dominio?

Indica un dominio Punycode, que es la forma en que los navegadores guardan los nombres con caracteres no latinos. Es legítimo en muchos idiomas, pero si una marca que normalmente usa letras latinas simples aparece como xn--, puede que estés en un sitio que imita al original.

¿Un sitio puede ser legítimo y aun así fallar alguna de estas comprobaciones?

Sí. Un negocio pequeño y nuevo tendrá un dominio reciente, y muchos sitios legítimos usan hosting barato. Por eso conviene valorar las comprobaciones en conjunto. Un resultado raro es motivo para mirar con más atención; varios a la vez son motivo para irte.