Cómo saber si un link es seguro antes de abrirlo

Mirando solo el mensaje no puedes saber si un link es seguro, pero sí puedes revisarlo en un minuto sin abrirlo. Busca el dominio real en la dirección, expande el enlace si es corto y pregúntate si ese dominio de verdad pertenece a quien dice el mensaje. Si algo no cuadra, no lo abras: entra al sitio escribiendo tú mismo la dirección.

Cómo leer un link: encuentra el dominio real

Una dirección web, o URL, tiene varias partes. En https://login.tubanco.com/cuenta, lo que va después de https:// es el nombre del sitio, y todo lo que sigue a la siguiente barra es una página dentro de ese sitio. Solo el nombre te dice de quién es el sitio, y dentro del nombre, solo el dominio: la parte que el dueño registró.

1. Mira el texto que va después de https:// y antes de la siguiente barra /. Lo que viene después de esa barra puede decir lo que el remitente quiera, incluso el nombre de tu banco.
2. Lee esa parte de derecha a izquierda. El último pedazo es la terminación, como .com o .co. La palabra que va justo antes completa el dominio: tubanco.com. Con terminaciones de país de dos pedazos, como .com.co, toma tres: tubanco.com.co.
3. Todo lo que queda más a la izquierda es un subdominio. El dueño de un dominio puede ponerle el subdominio que quiera, así que no prueba nada.

Justo de eso se aprovechan los estafadores:

Link	Dominio real	El truco
https://tubanco.com.co.actualiza-cuenta-7.net/	actualiza-cuenta-7.net	"tubanco.com.co" es solo un subdominio
https://tubanco-co.help/	tubanco-co.help	Un guion lo convierte en otro nombre
https://tubanco.com.co@example.net/	example.net	Lo que va antes de una @ se ignora

Letras parecidas y punycode

Algunos dominios falsos solo se ven bien: rn puede pasar por m, un cero por una o, una l minúscula por una I mayúscula. Hay un truco más fino que usa otros alfabetos. La "а" cirílica es idéntica a la "a" latina, pero para tu navegador es otro carácter, y por lo tanto otro dominio.

Los dominios con tildes o letras no latinas se guardan en punycode, una forma en ASCII simple que empieza por xn--. Si ves xn-- en una dirección y la marca que esperabas no usa tildes ni otro alfabeto, detente. Los navegadores suelen mostrar la forma xn-- cuando un nombre mezcla alfabetos, pero no siempre.

Pega el link en el detector de dominios falsos. Funciona en tu navegador y no envía nada. Te muestra la forma punycode y cada carácter de otro alfabeto. Un resultado en verde solo significa que no encontró letras parecidas; no demuestra que el sitio sea el verdadero.

http, https y el candado

https significa que la conexión va cifrada: otras personas en la misma red Wi-Fi no pueden leer ni cambiar lo que envías. No dice nada sobre quién está detrás del sitio. Los certificados que hacen funcionar https son gratis y se emiten de forma automática, así que la mayoría de los sitios de phishing (páginas falsas hechas para robar claves o dinero) también tienen uno. El candado significa "conexión privada", no "sitio honesto". Google Chrome cambió su candado por un ícono neutro en 2023, en parte porque mucha gente lo entendía como una señal de confianza.

El http sin la "s" es peor: nada va cifrado, y los navegadores lo marcan como "No seguro". Nunca escribas una contraseña o un número de tarjeta en una página que empiece por http://.

Links cortos: expándelos antes de abrirlos

Los enlaces cortos de servicios como bit.ly, t.co o TinyURL esconden el destino detrás de un código. Casi siempre son inofensivos, pero te quitan tu mejor pista. Muchos además pasan por redirecciones, es decir, una dirección te manda automáticamente a otra.

1. Copia el link sin abrirlo: en el celular, déjalo presionado; en el computador, haz clic derecho y elige "Copiar enlace".
2. Pégalo en el expansor de enlaces cortos y presiona Expandir. El enlace va a nuestro servidor (api.ethorns.com), que sigue cada redirección por ti, así tu dispositivo nunca lo visita. Solo se guarda el resultado, durante una hora.
3. Busca el dominio real de la dirección final. La herramienta también te avisa si la página final no usa https, usa punycode, es una dirección IP suelta (números en vez de un nombre) o pasó por muchas redirecciones.
4. Si la dirección final es larga y está llena de utm_source o fbclid, pégala en el limpiador de enlaces. Quita esos parámetros de rastreo, datos extra que registran desde dónde hiciste clic, en tu navegador y sin enviar el enlace a ningún lado, para que lo leas más fácil.

Revisa qué tan viejo es el dominio

Los sitios de estafa casi siempre usan dominios registrados días u horas antes de que te llegue el mensaje, porque los reportan y los bloquean rápido. Un banco o una tienda normalmente lleva años con el mismo dominio, y la fecha de registro es pública.

1. Toma solo el dominio: tubanco.com, no login.tubanco.com.
2. Escríbelo en la herramienta de edad de un dominio. El dominio va a nuestro servidor (api.ethorns.com), que consulta al registro oficial por RDAP, el reemplazo moderno de WHOIS (el registro público de cuándo se creó un dominio). Solo se guarda el resultado, durante una hora, y no se muestran datos personales.
3. Lee la fecha. La herramienta te dice "ten mucho cuidado" si tiene menos de una semana y "ten cuidado" si tiene menos de un mes. Un "banco" con un dominio recién creado es una alerta seria.

Un dominio viejo no es garantía, porque a veces hackean sitios reales. Y algunos registros de país, entre ellos el de .co, todavía no ofrecen RDAP, así que no aparecerá ninguna fecha. Eso, por sí solo, no es mala señal.

Lee el mensaje, no solo el link

Casi todos los links peligrosos llegan con un mensaje pensado para que actúes antes de pensar. Fíjate en:

• Urgencia o amenazas: "tu cuenta será bloqueada en 24 horas", "último aviso".
• Premios y plata fácil: te ganaste un celular, tienes un reembolso pendiente, un trabajo que paga mucho por poco esfuerzo.
• "Verifica tu cuenta": las empresas serias casi nunca te piden resolver un problema entrando desde un link.
• Cosas que no cuadran: un paquete que no esperabas, un mensaje que dice ser de "tu banco" desde un número desconocido.
• Te piden códigos: nadie legítimo te pide el código de un solo uso que te acaba de enviar por SMS.

El hábito más seguro: si un mensaje te pide iniciar sesión o pagar, no uses su link. Abre la app oficial o escribe tú mismo la dirección.

Si ya hiciste clic o escribiste tu contraseña

Abrir un link casi nunca es un desastre por sí solo. Lo que importa es lo que hiciste después.

1. Si solo abriste la página, ciérrala. Si se descargó un archivo, bórralo sin abrirlo.
2. Si escribiste una contraseña, cámbiala ya en el sitio real, escribiendo tú la dirección. Cámbiala también donde sea que la hayas repetido.
3. Activa la verificación en dos pasos, para que la contraseña sola ya no alcance para entrar.
4. Si pusiste datos de tu tarjeta o de tu banco, llama al banco al número que aparece en tu tarjeta y pide que la bloqueen. Nunca uses un número que venga en el mensaje.
5. Revisa si hay inicios de sesión o dispositivos que no reconoces, cierra las demás sesiones y busca reglas de reenvío en tu correo que no creaste.
6. Reporta el mensaje como phishing y avisa a tus contactos si salió desde tu cuenta.

Para saber si una contraseña ya apareció en una filtración, lee cómo saber si mi contraseña fue filtrada.

Lista rápida

• Encontré el dominio real, leyendo de derecha a izquierda antes de la primera barra sola.
• Es exactamente el dominio que esperaba: sin letras parecidas, sin xn--, sin trucos de subdominio.
• Expandí el link corto antes de abrirlo.
• El dominio no es recién creado.
• El mensaje no me presiona con urgencia, premios o "verifica tu cuenta".
• Para iniciar sesión o pagar, entré al sitio por mi cuenta.

Preguntas frecuentes

¿Un link me puede infectar el celular con solo abrirlo?

Es posible, pero raro. Esos ataques necesitan fallas de seguridad que todavía no se han corregido, por eso mantener el celular y el navegador actualizados es la mejor defensa. El peligro habitual es lo que la página te pide después: escribir una contraseña, pagar o instalar algo.

Si el link tiene https y candado, ¿es seguro?

No. El candado solo significa que la conexión va cifrada, y los sitios de estafa consiguen los mismos certificados gratuitos que cualquiera. Lo que importa es si el dominio es el que esperabas.

¿Es seguro expandir un link sospechoso en eThorns?

Sí. Nuestro servidor sigue las redirecciones, no tu dispositivo, y solo lee los encabezados y una pequeña parte de la página. No se ejecuta nada y los enlaces no se guardan.

Me lo mandó un amigo. ¿Puedo confiar?

No de entrada. Las cuentas hackeadas se usan a menudo para escribirle a todos los contactos. Si el mensaje te parece raro, pregúntale primero por otra vía, por ejemplo con una llamada.

Pruébalo

• 1.4Expandir enlaces cortosMira a dónde lleva realmente un enlace corto (bit.ly, t.co, tinyurl…) antes de abrirlo: cada redirección, la URL final y señales de alerta.
• 1.7Detector de dominios falsosRevisa si un enlace o dominio imita a otro: letras de otros alfabetos, números por letras, un dominio real escondido.
• 1.12Limpiador de enlacesQuita utm_, fbclid, gclid, si y otros parámetros de rastreo de los enlaces antes de compartirlos.
• 1.8Edad de un dominioMira cuándo se registró un dominio, cuándo vence, su registrador y sus DNS.

Para tu equipo

• US$19Kit antiphishing para pequeñas empresasUna charla de 30 minutos sobre mensajes falsos, lista para tu equipo: guía para quien la dirige, 12 mensajes de ejemplo, un póster, una política y un quiz.