Cómo saber si una página web es segura antes de comprar o introducir tus datos

Una página puede parecer profesional y seguir siendo una estafa. Antes de comprar o introducir contraseñas, conviene revisar la dirección, comprobar quién está detrás de la web y desconfiar de mensajes que intentan apresurar la decisión. Ninguna comprobación aislada garantiza al cien por cien que un sitio sea legítimo, pero varias señales combinadas ayudan a reducir el riesgo.

El HTTPS o el icono de seguridad del navegador indican que la conexión utiliza cifrado. No demuestran por sí solos que el vendedor sea honesto: una web fraudulenta también puede disponer de un certificado válido para su propio dominio. La pregunta no es solo si la conexión está cifrada, sino si realmente estás en la página de la entidad con la que quieres tratar.

Esta guía reúne comprobaciones prácticas para compras y formularios. Para una incidencia concreta, consulta a tu banco, a la plataforma afectada o a los servicios oficiales de ciberseguridad; los pasos pueden variar según los datos que hayas facilitado y el tipo de operación.

1. Revisa la dirección completa

Lee el dominio con atención antes de iniciar sesión o pagar. Una dirección puede imitar a una marca añadiendo guiones, sustituyendo letras por números o colocando su nombre dentro de una parte que no es el dominio real. En una dirección como marca.ejemplo.com, el dominio principal es ejemplo.com, no marca.com: el nombre situado antes puede ser un subdominio creado por otra entidad.

En el móvil, la barra puede mostrar solo una parte de la dirección. Ábrela o púlsala para verla completa. Si has llegado desde un SMS, un anuncio o un mensaje privado, es preferible acceder escribiendo la dirección conocida de la empresa o mediante su aplicación oficial, en vez de utilizar el enlace recibido.

No des por bueno un enlace solo porque incluya el nombre de una compañía en alguna parte. Tampoco asumas que un dominio conocido en apariencia es correcto si contiene una letra cambiada o un sufijo inesperado. Si tienes dudas, detén el proceso y contrasta el canal con la empresa por una vía obtenida independientemente del mensaje.

2. Entiende qué te dice HTTPS

HTTPS protege la comunicación entre el navegador y el servidor al que te conectas. Si el navegador advierte de un certificado inválido o de una conexión no segura, no ignores el aviso para introducir datos de pago o contraseñas. Busca otra vía oficial y comprueba que la dirección sea correcta.

El diseño de los navegadores cambia y algunos ya no muestran el mismo icono de candado que antes. Lo relevante es la información de seguridad que ofrece el navegador, no la presencia de un dibujo concreto en la página. Una imagen de un candado colocada por la propia tienda en su contenido no tiene el mismo significado que un aviso del navegador.

Incluso con HTTPS, una página puede vender productos inexistentes, hacerse pasar por una empresa o pedir datos de forma engañosa. Por eso hay que continuar con las demás comprobaciones. La guía de compra segura de INCIBE y otras entidades públicas ofrece recomendaciones complementarias.

3. Busca quién vende y cómo contactar

Una tienda debe facilitar información que permita identificar al responsable y conocer las condiciones de la compra. Revisa el nombre o razón social, los datos de contacto, las condiciones de entrega y devolución y los medios disponibles para reclamar. La presencia de una dirección o de un número no prueba por sí sola que el negocio sea auténtico: también conviene comprobar si esos datos son coherentes y si los canales funcionan.

Si la única forma de contacto es un formulario sin respuesta o una dirección de correo genérica, aumenta la cautela. Busca el nombre de la empresa y el dominio por separado, y comprueba que la información encontrada corresponde exactamente al mismo sitio. Las reseñas pueden ayudar a detectar problemas, pero algunas pueden ser falsas, antiguas o pertenecer a otra empresa de nombre similar.

No copies datos personales de una página de apariencia institucional solo porque use logotipos oficiales. Accede al organismo por su web conocida y comprueba allí si el trámite o la tienda enlazada existen realmente.

4. Examina la oferta y el pago

Un descuento muy superior al habitual, un contador que mete prisa o un aviso de que solo queda una unidad no son una prueba automática de fraude, pero justifican detenerse y revisar. La presión para pagar inmediatamente busca impedir que se contraste la oferta.

Lee el importe final, los gastos de envío, las condiciones de devolución y los plazos antes de confirmar. Si una web pide una transferencia a una cuenta personal, criptomonedas o un método que no entiendes como única opción, considera el riesgo y contrasta antes de pagar. Las posibilidades de reclamación y recuperación dependen del medio de pago y de las circunstancias.

Nunca facilites una clave, un código de un solo uso o una autorización de operación a alguien que te contacte inesperadamente diciendo que necesita «verificar» tu cuenta. Si el mensaje parece proceder del banco, cuelga o cierra la conversación y llama a un número oficial que ya conozcas o que figure en su aplicación o web obtenida por tu cuenta.

5. Comprueba enlaces y mensajes sospechosos

El phishing consiste en suplantar una entidad o persona para conseguir datos o provocar una acción. Puede llegar por correo, SMS, redes sociales o llamadas. Un mensaje puede mencionar una entrega pendiente, un problema con la cuenta o un supuesto pago para llevarte a una página falsa.

No descargues adjuntos inesperados ni introduzcas datos desde un enlace si no has confirmado antes el motivo. En un ordenador, pasar el cursor por encima de un enlace puede mostrar su destino, pero esa vista previa es solo una ayuda y no sustituye la comprobación del dominio real. En teléfonos, la forma de inspeccionarlo depende del sistema y la aplicación.

Un texto bien escrito tampoco garantiza autenticidad. Desconfía especialmente de solicitudes urgentes de dinero o claves y verifica por un canal independiente, incluso cuando el mensaje aparenta proceder de alguien conocido.

6. Si ya has introducido datos

Actúa cuanto antes. Si has introducido una contraseña, cámbiala en el servicio real y en cualquier otra cuenta donde la hayas reutilizado; activa la autenticación multifactor si está disponible y revisa las sesiones abiertas. No utilices el enlace sospechoso para hacer esos cambios: entra por la dirección o la aplicación oficial.

Si has facilitado datos de tarjeta o autorizado una operación, contacta con tu banco por sus canales oficiales y sigue sus instrucciones. Guarda pruebas como el mensaje, la dirección y los justificantes sin reenviarlos indiscriminadamente. También puedes comunicar el intento a la plataforma afectada y consultar los recursos de INCIBE.

La respuesta concreta depende de lo ocurrido: no es igual abrir una web que introducir credenciales, instalar una aplicación o confirmar una transferencia. Cuanto mejor puedas describir esos pasos al banco o al servicio de asistencia, más fácil será identificar qué medidas tomar.

Para seguir más contenidos sobre seguridad y dispositivos, consulta Tecnología. TodoWeb también ha explicado un caso de abuso de infraestructura para acceder a modelos de IA.