Para detectar un dominio falso con punycode, copia el enlace, quédate solo con el nombre de dominio y conviértelo a Punycode. Si un nombre que debería llevar solo letras normales, como mercadolibre.com o paypal.com, sale empezando por xn--, tiene letras de otro alfabeto y no es la web real. Nuestro convertidor Punycode gratis lo hace en un clic, sin cuenta y desde cualquier navegador.
Todas las conversiones de este artículo se hicieron el 2 de noviembre de 2026, en directo en el convertidor o con la misma función de PHP que usa en nuestro servidor (idn_to_ascii, ICU 71.1). El comportamiento de los navegadores lo comprobamos en Chrome 156 y con las reglas IDN que publican Chromium y Mozilla.
Qué significa xn-- en un dominio
Un dominio puede llevar letras de casi cualquier idioma: españa.com, münchen.de, пример.рф. Pero el DNS solo entiende letras ASCII, cifras y guiones, así que cada parte con caracteres especiales se guarda codificada en Punycode, con el prefijo xn--. españa.com es en realidad xn--espaa-rta.com.
Ahí está el problema. El alfabeto cirílico tiene letras idénticas a las latinas: а (U+0430), е, о, р, с, у. Un dominio escrito con ellas se ve igual que una marca en pantalla, pero en el DNS es otro nombre que cualquiera puede registrar. Es el llamado ataque homógrafo IDN. Las letras en pantalla pueden engañar, la codificación no. Por eso convertir a Punycode es la prueba fiable.
Revisa un enlace ahora: pega el dominio en el convertidor Punycode y elige Convertir a Punycode/ASCII.
Cómo revisar un dominio en 30 segundos
- Copia el enlace, no lo escribas a mano. En el ordenador, clic derecho y Copiar dirección del enlace. En el móvil, mantén pulsado el enlace y elige Copiar. Si lo escribes tú, corriges las letras falsas sin darte cuenta.
- Deja solo el dominio. Borra
https://y, si hay una@antes de la primera barra, todo lo que va hasta ella incluida. La ruta después del dominio (/login) puede quedarse. - Conviértelo. Pégalo en el convertidor Punycode, elige Convertir a Punycode/ASCII y envía.
- Lee el resultado. Si sale igual, todos los caracteres son ASCII normales. Si alguna parte de una marca que debería escribirse con letras normales empieza ahora por
xn--, cierra la página.
Ejemplos reales: lo que muestra el convertidor
Cada fila empieza con lo que verías en un correo o un WhatsApp. Los dominios falsos los inventamos para esta prueba: no los visites.
| Lo que ves | Resultado | Qué significa |
|---|---|---|
аpple.com | xn--pple-43d.com | Falso: la primera letra es cirílica. Prueba en directo. |
mercadоlibre.com | xn--mercadlibre-wnj.com | Falso: la о es cirílica. Fíjate en que desaparece de la parte legible. |
раураl.com | xn--l-7sba6dbr.com | Falso: cinco de seis letras son cirílicas; solo queda la l. |
аррӏе.com | xn--80ak6aa92e.com | Falso y totalmente cirílico. Es el dominio que registró Xudong Zheng en 2017 para demostrar el ataque. |
españa.com | xn--espaa-rta.com | IDN legítimo: la ñ es parte del español. |
ａｐｐｌｅ.com (ancho completo) | apple.com | No es un engaño: las letras de ancho completo se convierten en ASCII normal, igual que en el navegador. |
g00gle.com | g00gle.com | Sale igual, pero es falso: los ceros son ASCII y ninguna prueba IDN lo detecta. |
La parte legible antes del último guion solo conserva las letras ASCII de la etiqueta. Si a la marca le faltan letras ahí (mercadlibre), esas letras fueron sustituidas.
Convierte siempre en este sentido, no al revés
Si te mandan una dirección xn--, decodificarla sirve de poco. Pasamos xn--80ak6aa92e.com por Convertir a IDN/Texto y salió аррӏе.com, que en casi cualquier fuente se ve como apple.com. Decodificar te enseña lo que el atacante quiere que veas. Codificar lo que ves te dice lo que es de verdad.
Por qué el navegador no siempre te protege
- Chrome, Edge y Brave (Chromium) revisan cada parte del dominio. Según la política IDN publicada por Chromium, una etiqueta que mezcla latino, cirílico o griego se muestra como
xn--, y también una etiqueta toda en cirílico que imita letras latinas, salvo en dominios de países donde el cirílico es normal, como.ru,.ua,.bgo.kz. Chrome detecta casos comoаррӏе.comdesde la versión 58 (2017). - Firefox bloquea las mezclas de alfabetos, pero el algoritmo IDN que publica Mozilla permite a propósito los dominios escritos enteros en un alfabeto parecido. Para ver siempre la forma
xn--, abreabout:configy ponnetwork.IDN_show_punycodeentrue. - En todo lo demás (correos, SMS, WhatsApp, PDF, biografías de redes) el enlace es texto dibujado con una fuente y nadie lo revisa. Es justo por ahí por donde llegan estos dominios, y ahí es donde el convertidor te sirve.
Pegar el enlace en el Bloc de notas tampoco revela nada: copiar y pegar mantiene las letras Unicode tal cual. Y el candado no es prueba de nada. Un dominio falso puede tener un certificado válido como cualquier otro (la demo de Zheng funcionaba con HTTPS), emitido para el nombre xn--. Mira cómo revisar un certificado SSL para saber qué demuestra y qué no.
Errores que te dan una respuesta equivocada
Pegar la URL completa
El convertidor espera un dominio. En directo, https://аpple.com/login salió como xn--https://pple-49j.com/login, que no significa nada. En modo Convertir a IDN/Texto, https://xn--80ak6aa92e.com/ salió sin cambios, así que parecía limpio. Quita primero el https://. La ruta no molesta: аpple.com/login da xn--pple-43d.com/login.
El truco de la @
En https://accounts.google.com@аpple.com/, todo lo que va antes de la @ es un nombre de usuario. La web a la que llegarías es аpple.com. Si pegas la cadena entera, sale destrozada (accounts.google.xn--com@pple-46g.com), así que revisa solo lo que va después de la @.
Leer el dominio por el lado equivocado
El dueño real es la última parte. аpple.com.evil.example da xn--pple-43d.com.evil.example, pero aunque estuviera escrito con letras normales, apple.com.evil.example pertenece a quien tenga evil.example. Lee el dominio de derecha a izquierda.
Varios dominios a la vez
Convierte un dominio por vez. Dos dominios en líneas separadas salen mal (la primera línea terminó en .xn--com), porque el salto de línea cuenta como parte de una etiqueta.
Un resultado vacío
Un Punycode inválido, como xn--zz.com, devuelve la caja de resultado vacía y sin mensaje de error (prueba en directo). Vacío no significa seguro: significa que la etiqueta no es válida, y eso en un enlace ya es sospechoso.
Dominios que solo usan letras normales
rn haciéndose pasar por m, un 1 por una l, un 0 por una o, o palabras añadidas como mercadolibre-pagos-seguros.com son ASCII puro y salen sin cambios. Para esos casos, haz una consulta Whois (el dominio real de una marca suele tener años; uno de phishing, a menudo semanas) y sigue nuestra guía para saber si una página web es fiable.
Cuándo xn-- es perfectamente normal
xn-- por sí solo no es mala señal. En español es habitual: españa.com es xn--espaa-rta.com, y cualquier dominio con ñ o tildes lleva su forma xn--. El dominio ruso de pruebas пример.рф es xn--e1afmkfd.xn--p1ai. La alarma es más concreta: una etiqueta xn-- en el nombre de una marca que se escribe solo con letras sin tilde, como un banco o una tienda conocida.
Si encuentras uno falso
- No escribas nada en esa página. Abre la web real desde un marcador o escribiendo tú la dirección.
- Fíjate en tu gestor de contraseñas: rellena por dominio exacto, así que si no te ofrece tu usuario guardado, el dominio no coincide.
- Denuncia el enlace en Google Safe Browsing (safebrowsing.google.com, Report phishing) y avisa a la marca suplantada. En España también puedes llamar al 017, la línea de ayuda en ciberseguridad de INCIBE.
- Si el enlace venía en un código QR, decodifícalo primero con el lector de códigos QR y luego revisa el dominio. Lo demás lo explicamos en cómo saber si un código QR es seguro.
¿Tienes un enlace sospechoso ahora mismo? Pasa su dominio por el convertidor Punycode. Es gratis y no pide cuenta; los visitantes tienen 5 usos al día y una cuenta gratis (sin spam) quita ese límite. Para enlaces acortados, el comprobador de redirecciones te dice adónde llevan sin abrirlos, y la consulta DNS muestra adónde apunta un dominio.
Preguntas frecuentes
¿Qué significa xn-- en una URL?
Indica una etiqueta en Punycode: la forma ASCII de una parte del dominio que lleva letras no ASCII. Lo que va después de xn-- codifica esas letras. Para comprobar un enlace, codifica el nombre que ves y mira si coincide.
¿Todo dominio con xn-- es una estafa?
No. Los dominios con ñ, tildes o en alfabetos como el cirílico, el chino o el devanagari usan xn-- de forma legítima. Es mala señal solo cuando aparece en un nombre que debería escribirse con letras normales, como un banco o una gran marca.
¿Por qué el navegador muestra algunos dominios como xn--?
Chrome, Edge, Firefox y Safari muestran la forma xn-- cuando un dominio parece arriesgado, por ejemplo si mezcla letras latinas y cirílicas. Los navegadores Chromium también detectan imitaciones enteras en cirílico fuera de dominios cirílicos. Firefox las muestra en Unicode salvo que actives network.IDN_show_punycode.
¿El candado demuestra que la web es real?
No. Un dominio falso puede obtener un certificado HTTPS válido en minutos. El candado solo dice que la conexión está cifrada con ese dominio exacto, y ese dominio puede ser el falso.
¿Por qué al pegar el enlace en un editor de texto no aparece xn--?
Copiar y pegar conserva los caracteres Unicode tal cual, así que una а cirílica sigue pareciendo una a latina. Solo una conversión de verdad, como Convertir a Punycode/ASCII en nuestro convertidor, muestra el nombre codificado.
¿El convertidor Punycode es gratis?
Sí. Es gratis y no pide cuenta; solo envía a nuestro servidor el texto que pegas para convertirlo. Los visitantes tienen 5 conversiones al día y una cuenta gratis (sin spam) quita ese límite.
