Guía · Riesgos de enlaces · · por Stefan Tsezarov
Léelo desde la derecha
Una dirección web dice exactamente adónde lleva. Solo que no lo dice en el orden en que la lees.
Te han dicho que revises un enlace antes de hacer clic. Es un buen consejo, pero casi todo el mundo revisa la parte equivocada.
Un enlace puede llevar el nombre de una empresa conocida y acabar en un sitio completamente distinto. El nombre puede estar en un subdominio, en la ruta o antes de un signo @. En el móvil, el dominio real puede quedar cortado si no despliegas antes el enlace.
Un hábito resuelve casi todo esto:
Lee el dominio desde la derecha.
Esta guía te enseña a revisar un enlace sin abrirlo. No demostrará que un enlace sea seguro. Te ayudará a detectar los trucos habituales antes de hacer clic.
A continuación: los trucos principales, cómo comprobar cada uno sin abrir nada y qué puede y qué no puede decirte un análisis estructural.
01Adónde apunta una dirección
Toma esta dirección:
El navegador la divide en un esquema, un host y una ruta. El host es adonde te conectas de verdad. La ruta la elige quien gestiona ese host, y puede decir lo que quiera.
https://esquemametamask.io.subdominio: lo elige el propietario de abajosecure-verify.exampledominio registrable: el destino/loginruta: la elige ese mismo propietario
Las cuatro partes de https://metamask.io.secure-verify.example/login, en orden.
Dentro de ese host, el dominio registrable es secure-verify.example. Todo lo que hay a su izquierda es un subdominio, controlado por quien posee secure-verify.example. Un propietario puede crear tantos subdominios como quiera y ponerles casi cualquier nombre, incluido metamask.io.
Así que aquí metamask.io no es el destino. Es solo una etiqueta a la izquierda.
Qué significa «dominio registrable»
La parte que importa es el dominio registrable: el nombre que una persona o una empresa puede registrar de verdad. Es el sufijo público más la etiqueta que va justo delante. A menudo tiene la forma example.com. Con algunas estructuras de código de país tiene la forma example.co.uk o example.com.au.
Los navegadores y las herramientas de seguridad usan datos de sufijos públicos para encontrar ese límite. No des por hecho que todos los sufijos tienen el mismo número de etiquetas. La instrucción práctica es:
y quédate con la etiqueta que va justo delante.
Ese es el dominio registrable.
Este límite no es un detalle menor. Nuestro propio escáner contaba etiquetas hasta el 19 de septiembre de 2026, decidió que el propietario de coinbase.co.uk era co.uk y marcó un enlace legítimo corriente como suplantación de marca. Una herramienta que da la alarma con webs reales acaba desactivada, y entonces no protege a nadie. Qué cambió, y lo que aún no puede resolver, está en Transparencia técnica.
02El nombre a la izquierda
Un nombre de confianza puede estar en un subdominio o en la ruta sin controlar nada.
https://metamask.io/download
https://metamask.io.wallet-check.example/download
El mismo truco funciona en la ruta, donde se lee aún con más naturalidad:
En los dos ejemplos engañosos, el dominio registrable es wallet-check.example o cdn-assets-9931.example. El nombre de la marca solo aparece en un hueco que rellena el propietario de ese dominio.
En el móvil, una dirección larga puede dejar el dominio real fuera de la vista. Despliega o copia el enlace antes de juzgarlo.
03Caracteres que se parecen
Aquí no hay nada ingenioso en la dirección. Alguien registra un dominio que simplemente se parece a otro.
| Grafía conocida | Imitación | Qué ha cambiado |
|---|---|---|
metamask | metarnask | rn puede pasar por m |
paypal | paypa1 | el dígito 1 puede pasar por una l minúscula |
binance | b1nance | el dígito 1 puede pasar por una i minúscula |
A este tamaño la diferencia es evidente. En una barra de direcciones, a menudo no.
Un dominio de imitación es un dominio real. No es un fallo del navegador. Funciona porque nuestros ojos redondean las formas parecidas.
Fíjate en la tercera fila: el mismo carácter sustituye a una letra distinta que en la segunda. Por eso detectarlo con una máquina es más difícil de lo que parece: corrige una grafía y pillas paypa1 mientras se te escapa b1nance. Nuestro escáner prueba varias formas en que podría leerse un nombre en lugar de reducirlo a una sola.
Una variante relacionada no necesita caracteres parecidos. Simplemente añade palabras al nombre real:
Cada uno de ellos pone la marca en la posición del dominio registrable. El nombre no está fuera de sitio ni mal escrito. Solo va acompañado. Las empresas sí gestionan legítimamente varios dominios, así que por sí solo no demuestra nada, pero un dominio desconocido de marca más palabra no debería tratarse como oficial solo porque contiene la marca.
No te fíes solo de tus ojos. Compara el dominio con algo en lo que ya confíes: un marcador guardado o la app oficial.
04Dominios internacionalizados y punycode
Los nombres de dominio internacionalizados permiten escribir dominios en alfabetos como el griego, el cirílico, el árabe o el chino. Para que los sistemas antiguos sigan funcionando, muchos de estos nombres tienen también una forma ASCII que empieza por xn--. Eso es punycode.
El punycode no es automáticamente una señal de alarma. Muchas organizaciones legítimas usan dominios internacionalizados. Pero un enlace punycode inesperado merece una mirada más atenta, sobre todo en un mensaje que no has pedido y que habla de dinero, acceso a una cuenta o una verificación urgente.
Varias letras cirílicas se dibujan casi igual que las latinas (а, е, о, р, с), así que un nombre con letras sustituidas puede verse casi idéntico en pantalla y ser un dominio sin relación en la red.
Los navegadores pueden mostrar la forma Unicode o la forma ASCII, según el dominio y sus propias reglas. Un escáner puede detectar punycode sin poder demostrar cómo se ve el nombre mostrado. Marcar el punycode lo señala para revisarlo; no demuestra un fraude.
05El signo @
En una URL HTTP o HTTPS, todo lo que va antes de @ es información de usuario. No es el host de destino.
https://esquemaledger.cominformación de usuario: no es el destino@separadorledgerlive-verify.examplehost: la web a la que llegas/deviceruta
Las cinco partes de https://ledger.com@ledgerlive-verify.example/device, en orden.
El host es ledgerlive-verify.example. El texto ledger.com no es la web que visitas.
Este es el truco que resiste una lectura atenta, porque el nombre conocido de verdad está ahí, de verdad forma parte de la dirección y de verdad está bien escrito. Un nombre conocido antes de @ no demuestra nada sobre quién posee el enlace.
06Enlaces acortados y códigos QR
Un enlace acortado oculta el destino hasta que lo despliegas o lo sigues. Servicios como bit.ly, t.co y cutt.ly son corrientes y se usan mucho por buenos motivos, y eso es parte de lo que los convierte en una buena tapadera.
Un código QR oculta la dirección por completo. El código puede estar bien, pero no puedes revisar el destino a partir de la imagen.
Nuestro escáner marca los acortadores que reconoce, pero no los resuelve por ti. Si siguiera el enlace de un desconocido, contactaría con el servidor del atacante y le diría que el enlace se ha revisado.
Si necesitas desplegar un enlace corto, usa un servicio de confianza y trata lo que devuelva como no fiable hasta que lo hayas comprobado.
07Un ejemplo resuelto
Léelo tal como llegaría: en el móvil, en una notificación, sobre un dispositivo que tienes.
Ejemplo inventado · dominios reservados
Nada en ese mensaje pide algo secreto. Ni frase de recuperación, ni clave privada, ni contraseña. Pide un clic, y ese es el ataque, porque la página del otro lado puede hacer la siguiente petición en cuanto llegas.
Enséñame qué tiene de malo
El mensaje usa varios trucos a la vez:
- El enlace principal pone
ledger.comantes de@, donde es información de usuario y no el destino. El host esledgerlive-verify.example. - Ese host lleva el nombre de la marca con palabras añadidas en la posición del dominio registrable, así que sigue pareciendo oficial incluso cuando ya has encontrado la parte correcta de la dirección.
- La alternativa usa un dominio punycode, ofrecido como un espejo útil. La frase anterior explica de antemano por qué podría fallar el primer enlace, así que un fallo parece previsto en lugar de sospechoso.
- Añade urgencia y una consecuencia: 48 horas y las transferencias salientes descritas como pausadas.
- Solo pide un clic. La página del otro lado hace la siguiente petición en cuanto llegas.
El detalle que hace casi todo el trabajo es la propia restricción. El mensaje da una explicación de aire técnico para una situación que el destinatario no puede verificar por su cuenta, y creerla no cuesta nada en ese momento.
Nuestro motor devuelve FAIL con este mensaje: por el enlace con @, el host punycode y el dominio de marca con palabras añadidas. Llega ahí sin interpretar ni una sola frase del inglés.
08Cómo leer una dirección antes de abrirla
Detente en la primera barra simple después de que empiece el host
Todo lo que va después de esa barra es la ruta. Puede decir cualquier cosa y no demuestra nada sobre quién posee la web. Si hay una @ antes de la ruta, ignora todo lo que haya a su izquierda al averiguar el host.
Encuentra el host y léelo de derecha a izquierda
Encuentra el sufijo público y la etiqueta que va justo delante. Juntos, son el dominio registrable.
Compáralo con el dominio exacto que querías visitar
No «¿parece oficial?» ni «¿contiene la marca?».
Si la dirección está cortada, despliégala antes de decidir
Mejor aún, abre el servicio desde tu propio marcador, tu app guardada o una dirección que hayas escrito tú.
No hagas clic primero para revisar después.
Revisa antes de llegar.
09Lo que el análisis puede decirte y lo que no
Pega un mensaje en el escáner y comprobará la estructura de las direcciones y enlaces que cubre, buscando las señales de alarma habituales.
El análisis en sí no contacta con nada. Se ejecuta en tu navegador, y ningún enlace del mensaje se descarga ni se resuelve. Si después pulsas Comprobar esta dirección en una dirección cripto que encontró el análisis, esa dirección (y nada más del mensaje) va al proveedor de seguridad de direcciones. Es un paso aparte que decides dar tú, y Transparencia técnica detalla exactamente qué recibe cada proveedor.
| El análisis puede ayudar a detectar | El análisis no puede demostrar |
|---|---|
Trucos de información de usuario con @ | Que una web de estructura normal sea legítima |
| Hosts que son una IP sin nombre | Que el remitente sea quien dice ser |
| Acortadores reconocidos | Que un destino acortado sea seguro sin resolverlo |
| Indicios de punycode | Cómo se ve cada dominio punycode al mostrarse |
| Nombres de marca en posiciones sospechosas | Que una simple errata sea maliciosa |
| Nombres de marca con palabras añadidas | Que un resultado limpio signifique que no hay estafa |
| Algunos caracteres confundibles | Que una web se comporte de forma segura cuando la abras |
| Contenido de URL codificado sospechoso | Quién posee un dominio con un sufijo que no puede resolver |
| Direcciones cripto compatibles dentro del mensaje | Que una dirección sin hallazgos pertenezca a quien crees |
La estructura no es reputación.
Un resultado limpio solo significa que en el texto que enviaste no apareció ningún truco estructural cubierto. No significa que el enlace, la web, el remitente o la oferta sean seguros.
Hay tres límites que merece la pena decir por separado.
Un dominio sin ningún truco es invisible para una comprobación estructural. wallet-refund-centre.example no tiene caracteres parecidos, ni nombre de marca, ni nada fuera de lugar. Registrado esta mañana y con una copia convincente de la página de acceso de una wallet, pasaría esta comprobación y casi todas las parecidas. Los sistemas de reputación (servicios que mantienen listas de direcciones conocidas como peligrosas) responden a otra pregunta, y este escáner no hace su trabajo.
Las erratas simples no se detectan de forma fiable. metamsk.io es una errata, no una sustitución por un carácter confundible. El escáner no las detecta todas. Es una limitación conocida, no una promesa silenciosa.
El punycode se identifica, no se traduce. El escáner puede decirte que un dominio está en forma punycode. No siempre puede decirte qué nombre forma.
La regla
Que el nombre conocido esté ahí no es una prueba. Busca el dominio registrable.
Es lo más barato de poner en toda la dirección, y la parte en la que es más probable que se detenga quien lee.
Todas las direcciones de esta guía que muestran un truco apuntan a un dominio de ejemplo reservado. Esos destinos no resuelven y no son servicios reales. El único dominio real que aparece es metamask.io, la web de MetaMask. Aparece en la sección 2 como el caso correcto, porque para mostrar dónde va de verdad un nombre de marca hace falta una dirección auténtica con la que contrastar las engañosas.
El mensaje de ejemplo es inventado. Relacionado: lo que suele pedir la página al otro lado de un enlace, texto que no se ve en absoluto e instrucciones escritas para una IA y no para ti. Este artículo tiene fines solo educativos y no es asesoramiento financiero.
¿Lees un mensaje sospechoso en el navegador? El marcador para comprobar el texto seleccionado lo comprueba sin copiar y pegar, y el texto se queda en tu navegador.