Cómo saber si una página web es segura (y por qué el candado no basta)

Nos enseñaron a "buscar el candadito", y hoy ese consejo es peligroso. El candado solo dice que la conexión está cifrada — nada más. Una página hecha para robarte también puede tenerlo, y de hecho casi todas lo tienen.

La señal que sí importa: el dominio

Lee la dirección carácter por carácter, empezando por el final del nombre principal. Las páginas falsas imitan marcas conocidas con trucos como:

• Una letra cambiada o duplicada que a simple vista no se nota.
• Una palabra extra pegada al nombre de la marca.
• El nombre de la marca metido como subdominio de otro sitio cualquiera.
• Una terminación distinta a la que la marca usa de verdad.

Otras señales de alerta

• Llegaste por un enlace: de un correo, un mensaje o un anuncio. Casi ninguna estafa te encuentra si escribes la dirección tú mismo.
• Urgencia: "tu cuenta será suspendida en 24 horas". La prisa existe para que no pienses.
• Te pide más de lo necesario: una tienda no necesita tu clave del banco ni una foto de tu documento para venderte algo digital.
• Errores de redacción y traducciones raras.
• Una oferta que no tiene sentido: si el precio no cierra por ningún lado, algo se está rompiendo en el medio.

La regla de oro

Si un mensaje te manda a iniciar sesión en algún lado, no uses ese enlace. Cierra, abre el navegador o la app oficial y entra por tu cuenta. Si el aviso era real, ahí lo vas a ver igual.

Si ya diste tus datos

1. Cambia esa contraseña de inmediato
2. Cámbiala también en cualquier otro sitio donde la hayas repetido
3. Activa verificación en dos pasos donde puedas
4. Si diste datos bancarios, avisa a tu banco

Las estafas que más se ven en 2026

Los trucos cambian de disfraz, pero en 2026 casi todos caen en uno de estos moldes:

• El «sorteo» por mensaje directo. Te escriben por Instagram, TikTok o Discord diciendo que ganaste skins, diamantes o una gift card. El enlace lleva a un formulario de inicio de sesión clonado. Discord lo resume así: si alguien que no comparte servidores contigo, tiene prisa y te pide un enlace, algo está mal.
• El código QR para «verificar». Te piden escanear un QR «para confirmar tu identidad». Ese QR inicia tu sesión en el equipo del estafador. Nunca escanees un QR de inicio de sesión que no generaste tú.
• «Te reporté por error». Alguien dice que reportó tu cuenta sin querer y que hables con un «admin» para no perderla. El «admin» es su cómplice y te pedirá datos o un código.
• Anuncios que imitan la marca. Aparecen arriba de los resultados del buscador con el logo correcto y un dominio parecido. Un anuncio pagado no es una verificación de nada.
• Tiendas de «recargas baratas» que piden usuario y contraseña de tu juego para un producto que en todas partes se entrega por ID.

Cómo leer una dirección web sin equivocarte

Lo que identifica a un sitio son las dos últimas partes del nombre, justo antes de la primera barra (/): el nombre y su terminación (por ejemplo, mibanco.com). Todo lo demás es decoración. Con un ejemplo inventado: en «pagos.mibanco.com/login», el sitio es mibanco.com. En «mibanco.com.pagos-seguros.xyz/login», el sitio es pagos-seguros.xyz, y «mibanco.com» es solo un subdominio que el estafador eligió.

• En el celular, el navegador acorta la dirección. Toca la barra para verla completa antes de escribir nada.
• En correos, compara el nombre mostrado con la dirección real del remitente; Google recomienda exactamente eso porque el nombre se puede escribir libremente.
• En una computadora, pasa el cursor sobre el enlace sin hacer clic: la dirección real aparece abajo a la izquierda.
• Los sitios que ya usas tienen una terminación fija. Si una marca siempre fue .com y ahora te llega .xyz, .top o .shop, es otra persona.

Herramientas del navegador y del sistema que te cubren

• Navegación segura de Chrome: en Ajustes > Privacidad y seguridad > Seguridad, activa «Protección mejorada». Bloquea muchos sitios de phishing conocidos antes de que carguen.
• Safari en iPhone: en Ajustes > Apps > Safari, mantén encendida la «Advertencia de sitio web fraudulento».
• El gestor de contraseñas como detector: si guardaste tu clave para un sitio y en la página actual el gestor no te la ofrece, es porque el dominio no coincide. Esa pausa te ha salvado más de una vez sin que lo notes.
• Passkeys (llaves de acceso): donde el servicio las ofrezca, actívalas. Una passkey está atada al dominio real y no se puede «escribir» en una página falsa, así que el phishing clásico deja de funcionar. Google las soporta en Android 9+ e iOS 16+.

Cómo verificar una tienda antes de pagar

1. Busca reseñas fuera de la propia página (Google, comunidades), no solo los testimonios que la tienda muestra.
2. Revisa que tenga aviso legal, política de reembolsos y un canal de contacto que responda. En Krosty Shop puedes ver las opiniones de clientes, el aviso legal y la política de reembolsos.
3. Compara lo que te piden con lo que el producto necesita: una recarga por ID no necesita tu contraseña ni una foto de tu cédula.
4. Desconfía de precios muy por debajo de todos los demás. Si el precio no puede cerrar, el margen sale de algo que no te están contando.

Si vas a comprar gift cards o recargas, tenemos una guía específica sobre cómo detectar estafas en ese rubro.

Si hiciste clic pero no escribiste nada

Hacer clic en un enlace malo no suele comprometer la cuenta por sí solo; lo que la compromete es escribir datos o instalar algo. Aun así:

• Cierra la pestaña y no abras ningún archivo que se haya descargado.
• Revisa las sesiones activas en tu cuenta de Google (Seguridad > Tus dispositivos), Apple y Discord, y cierra las que no reconozcas.
• Reporta el mensaje: en Gmail está en el menú de tres puntos como «Denunciar suplantación de identidad». Eso ayuda a que el siguiente no caiga.