Acabas de encontrar el producto que llevas semanas buscando, a un precio que parece de risa. Antes de meter la tarjeta, algo te hace dudar. Buena señal: significa que tu instinto funciona mejor de lo que crees, aunque no sepas nada de informática.
Este artículo no trata sobre correos falsos ni mensajes que suplantan a tu banco, eso ya lo cubrimos al detalle en el artículo sobre evitar el phishing. Aquí nos quedamos en un paso anterior: cómo saber, con lo que ya tienes en el navegador y sin instalar nada, si una web en la que ya estás navegando es de fiar o no.
Solución rápida
- Comprueba que la URL empiece por https:// y tenga el icono del candado cerrado.
- Verifica que el nombre de dominio sea el correcto y no contenga faltas de ortografía ni caracteres extraños.
- Busca secciones legales como «Aviso Legal», «Política de Privacidad» y datos de contacto reales.
- Desconfía de ventanas emergentes excesivas o peticiones de datos personales nada más entrar.
El candado y el HTTPS: lo que realmente significan
Casi todo el mundo sabe que hay que «mirar el candado». Pocos saben qué significa en realidad. Te lo explico sin rodeos.
El candado que aparece en la barra de direcciones, a la izquierda de la URL, indica que la conexión entre tu navegador y esa web está cifrada. Si alguien intercepta esos datos por el camino, no puede leerlos en claro. Técnicamente lo que hay detrás es el protocolo HTTPS (la «S» es de «seguro»), frente al antiguo HTTP sin cifrar.
Aquí viene la pega que casi nadie cuenta: el candado solo garantiza que la conexión es privada, no que la web sea de fiar. Cualquiera puede conseguir un certificado HTTPS gratis en cuestión de minutos, incluidos los que montan páginas fraudulentas. De hecho, hoy la inmensa mayoría de webs de phishing ya usan HTTPS, precisamente porque saben que la gente confía en ese candado.
Así que, si no tiene HTTPS, no metas ahí ni tu correo ni tu tarjeta. Es una señal de alarma directa. Pero que sí lo tenga no te da barra libre para confiar a ciegas. El candado es el mínimo exigible, no un sello de garantía.
Analiza la URL: el truco más sencillo para detectar suplantaciones
Este es, probablemente, el gesto que más estafas te va a evitar y el que menos tiempo te lleva: mirar de verdad la dirección web, letra por letra.
Las webs falsas que imitan tiendas o bancos reales suelen jugar con variaciones mínimas del dominio original que a simple vista pasan desapercibidas:
- Cambiar una letra por otra visualmente parecida (una «l» minúscula por una «I» mayúscula, una «o» por un «0»).
- Añadir palabras antes o después del nombre real, tipo «amazon-ofertas.com» en vez de «amazon.es».
- Usar una extensión distinta a la habitual (.net, .info, .xyz) cuando la marca original siempre usa .com o .es.
- Añadir subdominios que despistan, haciendo que el nombre real quede escondido en medio de la dirección.
El truco está en comparar la URL con la que ya conoces de esa marca, no con la que «parece correcta». Si sueles comprar en una tienda concreta, guárdala en favoritos y entra siempre desde ahí, nunca desde un enlace que te llega por redes sociales o por un anuncio.
Otro detalle que se pasa por alto: fíjate en si la URL cambia de golpe justo cuando vas a pagar, o si te redirige por dos o tres dominios distintos antes de llegar al formulario final. Ese salto raro entre dominios es una señal de que algo no está bien montado, aunque cada uno de esos dominios tenga su propio candado.
La importancia del Aviso Legal y la Política de Privacidad
Aquí es donde mucha gente se rinde antes de empezar, porque le suena a letra pequeña aburrida. Pero es justo la parte que separa un negocio real de uno que se ha montado en una tarde para desaparecer en cuanto cobre.
En España, toda web que ofrezca productos, servicios o simplemente recoja datos personales está obligada por ley a tener, como mínimo:
- Un Aviso Legal con el nombre de la empresa o autónomo responsable, su NIF o CIF, y una dirección física de contacto.
- Una Política de Privacidad que explique qué datos recoge, para qué los usa y cómo puedes ejercer tus derechos sobre ellos.
- En el caso de tiendas online, también condiciones de venta claras: gastos de envío, plazos de entrega y política de devoluciones.
Si buscas estos apartados y no aparecen por ningún lado, o solo encuentras un formulario de contacto sin más datos, es una señal de peso. No es una prueba definitiva al cien por cien, pero una empresa seria no tiene ningún problema en mostrar quién está detrás. Las que se esconden, por algo se esconden.
Dicho esto, no hace falta que te conviertas en experto legal para leer estos textos: basta con confirmar que existen, que están escritos en un español coherente y que los datos de la empresa parecen reales. Puedes incluso buscar ese nombre o NIF en Google para ver si aparece en otros sitios.
Señales de alerta: qué elementos visuales delatan una web sospechosa
Sin necesidad de ningún conocimiento técnico, hay señales que salen a la vista con solo pasear un poco por la página.
Los precios que no tienen sentido. Si un producto cuesta la mitad que en cualquier otro sitio y la web no explica por qué (liquidación, fin de temporada, outlet real), desconfía. Es el cebo más viejo del mundo y sigue funcionando.
Ventanas emergentes en cascada. Una web legítima no te bombardea con pop-ups nada más entrar pidiéndote el teléfono, el correo o un «premio» que has ganado sin haber participado en nada.
Textos con errores raros. Faltas de ortografía, frases traducidas de forma literal desde otro idioma, o botones que dicen cosas como «Comprar ahora ya!» con una urgencia forzada. Las tiendas serias también se equivocan alguna vez, pero no suelen acumular fallos por todas partes.
Ausencia de reseñas verificables o solo reseñas perfectas. Si todas las opiniones son de cinco estrellas, están fechadas el mismo día y usan un lenguaje casi idéntico entre ellas, huele a montaje.
Métodos de pago limitados y raros. Si solo aceptan transferencia bancaria directa o algún método poco habitual para el tipo de compra, y no ofrecen tarjeta ni plataformas de pago conocidas, es una señal fuerte de que algo no cuadra.
Falta de opción de contacto real. Nada de teléfono, nada de dirección, solo un formulario que nunca sabes si llega a algún lado.
Ninguna de estas señales por separado es una condena automática. Pero cuando se juntan dos o tres a la vez, el mensaje está bastante claro.
Herramientas gratuitas para comprobar la reputación de un sitio
Más allá del ojo entrenado, tu propio navegador y un par de webs gratuitas te dan información extra en segundos, sin instalar nada.
Haz clic sobre el icono del candado en la barra de direcciones. En la mayoría de navegadores se abre un pequeño panel donde puedes ver información básica del certificado de seguridad, como a nombre de quién está emitido. No hace falta entender todos los tecnicismos, pero si el certificado parece emitido para un dominio distinto al que estás visitando, es una alarma clara.
También puedes copiar la URL sospechosa y pegarla en herramientas de comprobación de reputación de sitios web, que analizan si ese dominio ha sido reportado antes por usuarios o por bases de datos de seguridad. Son gratuitas, no requieren registro y te dan un resultado orientativo en segundos.
Otro gesto sencillo: busca el nombre de la tienda o el dominio exacto en un buscador junto a la palabra «opiniones» o «estafa». Si hay quejas repetidas de gente que no recibió su pedido o no consiguió que le devolvieran el dinero, suelen aparecer bastante rápido en los primeros resultados.
Y si la web pide crear una cuenta antes de comprar, aprovecha para usar una contraseña que no reutilices en ningún otro sitio. Aquí va bien repasar cómo crear contraseñas seguras que sean fáciles de recordar para ti pero imposibles de adivinar para otro.
Sentido común: la última barrera de defensa
Después de mirar el candado, la URL, el aviso legal y las señales visuales, queda un último filtro que no depende de ninguna herramienta: cómo te sientes tú ante esa web.
Si algo te genera prisa artificial («solo quedan 2 unidades», contador de tiempo que no para de bajar), si te pide más datos de los que necesita para completar la compra, o si simplemente notas que «algo no encaja» aunque no sepas explicar qué, hazle caso a esa sensación. El instinto que te hizo dudar al principio de este artículo suele acertar más de lo que crees.
Y el HTTPS no es un pase VIP a la confianza automática. Es un requisito, no una garantía. La confianza real se construye combinando varias señales: conexión cifrada, dominio correcto, información legal visible, ausencia de señales de alerta y, sobre todo, la sensación de que esa empresa existe de verdad y responde por lo que vende.
Si quieres dejar todo este proceso más ordenado y no fiarte solo de la memoria cada vez que compras en un sitio nuevo, te puede servir tener a mano un checklist de seguridad digital con estos pasos ya anotados, para repasarlos en menos de un minuto antes de sacar la cartera.
La pega honesta de todo esto: ninguna de estas comprobaciones te da una certeza del cien por cien. Los estafadores también aprenden y copian aviso legal, reseñas y diseño con cada vez más cuidado. Pero cuantas más de estas señales revises antes de pagar, menos probabilidades tienes de ser tú quien acabe contando la próxima mala experiencia.