Cómo saber si una web es segura

Una web de aspecto limpio y profesional puede ser totalmente insegura. Saber cómo comprobar si una web es segura antes de introducir ningún dato no es complicado, pero sí exige saber dónde mirar, porque las señales más evidentes no siempre son las que importan.

Las señales que te dicen si un sitio es seguro se ven en el navegador y en la propia página. Este artículo explica qué comprobar, qué significa cada señal y qué hacer cuando algo no te cuadra.

Las mismas comprobaciones valen tanto si eres un visitante que quiere decidir si confiar en un sitio como si eres el propietario de un sitio y quieres entender qué ven los visitantes al llegar al tuyo. Las webs seguras y las inseguras dejan las mismas huellas. Saber qué buscar quita las dudas. Para ver por qué la seguridad web importa en todos los sitios, no solo en los grandes, lee el artículo sobre por qué es importante la seguridad web.

Cómo comprobar si una web es segura

Mira primero la barra de direcciones

La barra de direcciones del navegador es el sitio más rápido por donde empezar. Dos cosas te dicen mucho antes de leer una sola palabra de la página.

• La dirección debe empezar por HTTPS, no por HTTP. La S significa Secure (seguro). Quiere decir que la conexión entre tu navegador y el sitio está cifrada, así que cualquier información que envíes se revuelve antes de viajar. Un sitio cuya dirección empieza por HTTP a secas no tiene un certificado de seguridad, y todo lo que envíes en un formulario sale sin protección
• Aparece un icono de candado junto a la dirección en los sitios con un certificado de seguridad válido instalado. Sin candado no hay certificado, y sin certificado no hay conexión cifrada. Al hacer clic en el candado se ven los detalles del certificado, incluido quién lo emitió y cuándo caduca

HTTPS y el candado son lo mínimo. Un sitio que no los tiene suspende la primera comprobación de inmediato. Para una explicación completa de qué es un certificado de seguridad y qué hace, lee el artículo sobre qué es un certificado de seguridad web y por qué lo necesita tu sitio.

Lee la URL con atención

El candado de HTTPS solo te dice que la conexión está cifrada. No te dice que el sitio sea de fiar. Un sitio de estafa puede tener un certificado de seguridad válido con la misma facilidad que uno real. Por eso importa leer el nombre de dominio real.

• Mira el nombre de dominio completo en la barra de direcciones, no solo el título de la página. Un sitio diseñado para parecerse a un banco o a un servicio conocido suele usar un dominio que a primera vista se parece, pero es ligeramente distinto. Caracteres de más, guiones o terminaciones poco habituales merecen atención
• Comprueba que el dominio coincide con el sitio que querías visitar. Si hiciste clic en un enlace de un correo o de otro sitio, confirma que la dirección de la barra coincide con el lugar al que querías ir
• Las cadenas largas y desconocidas de caracteres en la dirección, o los dominios que no reconoces desde el principio de la URL, merecen desconfianza

Comprueba qué te dice el navegador

Los navegadores señalan directamente los sitios inseguros. Estos avisos merecen que los tomes en serio.

• Una etiqueta de "No seguro" en la barra de direcciones aparece en los sitios servidos sin HTTPS. Algunos navegadores la muestran en todas las páginas HTTP. Otros solo la marcan en páginas con formularios o campos de acceso, donde introducir información sería el riesgo más claro
• Un aviso a pantalla completa, a menudo rojo o naranja, con textos como "Tu conexión no es privada" o "Este sitio puede ser inseguro", aparece cuando el navegador detecta un problema más grave. Puede significar que el certificado de seguridad ha caducado, que el certificado no coincide con el dominio o que el sitio se ha marcado por contenido dañino. Estos avisos existen para que no sigas adelante, y conviene hacerles caso
• Si aparece un aviso a pantalla completa, no lo saltes salvo que tengas un motivo concreto para confiar en el sitio y entiendas qué significa el aviso

Mira el propio sitio

Una vez en la página, algunas cosas te dicen más sobre si el sitio es lo que parece.

• Una página de contacto que funciona, con una dirección, un teléfono o un correo reales, es una señal positiva. Los sitios creados solo para recoger información suelen saltarse esto o usar textos genéricos de relleno
• Las páginas de política de privacidad y de condiciones del servicio que de verdad tienen contenido, y no solo un título sin nada debajo, indican un sitio construido para funcionar como debe
• Los errores de ortografía, las imágenes rotas o los problemas de diseño que parecen de algo sin terminar pueden ser señales de un sitio hecho deprisa. No garantizan que algo vaya mal, pero junto con otras señales suman
• Las peticiones de información que no encajan, como un sitio que pide el número de la seguridad social o datos bancarios sin un motivo evidente, deben tratarse como una señal de alarma sin importar cómo sea el resto del sitio

Cómo usar un comprobador de seguridad de webs

Un comprobador de seguridad de webs es una herramienta que busca una URL en listas conocidas de sitios dañinos o denunciados y devuelve una valoración de seguridad. Estas herramientas sirven para tener una segunda opinión rápida, sobre todo en sitios que no has visitado antes.

Qué miran los comprobadores de seguridad

• Las listas de sitios dañinos conocidos que mantienen los fabricantes de navegadores y las organizaciones de seguridad. Los sitios confirmados como páginas de phishing, distribuidores de malware u operaciones de estafa aparecen en estas listas y se marcan de inmediato
• La antigüedad y la reputación del dominio. Los dominios recién registrados que ya han sido denunciados por problemas, o los dominios que muestran patrones asociados a actividad dañina, pueden marcarse aunque todavía no se hayan añadido a una lista concreta
• Si el sitio tiene un certificado de seguridad válido y si HTTPS está bien configurado
• Si algún visitante anterior ha denunciado el sitio

Lo que los comprobadores de seguridad no pueden decirte

Un resultado limpio en un comprobador de seguridad de webs no garantiza que el sitio sea de fiar. Significa que el sitio no ha sido denunciado ni marcado en las listas que consulta la herramienta.

• Un sitio de estafa recién creado pasará una comprobación de seguridad si aún no lo han denunciado. Los sitios dañinos suelen ir por delante de las listas durante días o semanas antes de añadirse
• Los comprobadores de seguridad no _blocked_úan la calidad ni la honestidad del contenido del sitio. Un sitio puede pasar todas las comprobaciones automáticas y seguir diseñado para engañar a los visitantes
• Usa un comprobador de seguridad como un dato más junto con las demás comprobaciones, no como el único

Qué hace que una web sea realmente segura de usar

HTTPS es el punto de partida, no la meta

Un sitio con HTTPS y un candado válido ha superado los requisitos técnicos básicos de una conexión segura. Vale la pena confirmarlo, pero es el principio de la comprobación, no el final.

HTTPS protege los datos que viajan entre el navegador y el servidor. No dice nada sobre lo que hace el sitio con esos datos una vez que llegan. Un sitio puede tener un certificado válido y aun así recoger información con fines con los que el visitante no estaría de acuerdo si los conociera. Para ver con detalle cómo funciona HTTPS y qué protege en realidad, lee el artículo sobre qué es HTTPS y cómo protege tu web.

Señales de confianza en la página

Más allá de las comprobaciones técnicas, los sitios construidos para funcionar como es debido suelen demostrarlo en cómo tratan las cosas básicas.

• Información clara sobre quién gestiona el sitio y cómo contactar con ellos
• Políticas que explican qué datos se recogen y cómo se usan
• Un proceso de pago, si lo hay, que use un método de pago reconocido y muestre por qué estás pagando antes de confirmar la transacción
• Sin tácticas de presión: los contadores de cuenta atrás, los mensajes de que tu cuenta se bloqueará si no actúas ya o los avisos de que tu dispositivo está infectado son herramientas habituales para empujar a los visitantes a decidir sin pensar

Qué demuestran y qué no demuestran los certificados SSL

Un certificado SSL básico, el que da a un sitio su candado y su HTTPS, demuestra una sola cosa: que quien lo instaló controla el dominio. No verifica que la empresa detrás del sitio sea legítima, que el sitio haya sido revisado de forma independiente ni que las personas que lo gestionan sean quienes dicen ser.

Los certificados de nivel superior sí van más allá. Un certificado de validación de organización o de validación extendida exige que la autoridad de certificación verifique la identidad legal de la empresa. Los sitios que usan estos certificados se han comprobado más allá de la propiedad del dominio. Para la mayoría de las webs cotidianas este nivel de verificación no hace falta, pero en plataformas financieras o gubernamentales conviene conocer la diferencia. Para ver el desglose completo de los tipos de certificado y qué demuestra cada uno, lee el artículo sobre qué es un certificado SSL y cómo funciona.

Qué hacer cuando una web no parece segura

• No introduzcas datos personales, datos de acceso ni datos de pago en un sitio del que no estés seguro. La información no se puede recuperar una vez enviada
• Cierra la pestaña y ve directamente al sitio al que querías llegar escribiendo tú mismo la dirección, en lugar de seguir un enlace que pudo llevarte a otro lugar inesperado
• Si ya has enviado información a un sitio que resultó ser inseguro, cambia de inmediato la contraseña asociada a esa dirección de correo. Si había datos de pago, contacta con tu banco
• Denuncia el sitio si el navegador o la herramienta de seguridad te da la opción. Eso ayuda a que el sitio entre antes en las listas de aviso, lo que protege a otros visitantes
• Si gestionas tu propio sitio y quieres entender qué ven tus visitantes cuando comprueban su seguridad, revisa si HTTPS está activo, si el certificado es válido y no ha caducado, y si algo en la página podría parecer una señal de alarma a alguien que no conoce ya el sitio

Cómo gestiona WEMASY las señales de seguridad del sitio

Todos los sitios creados con WEMASY funcionan por HTTPS por defecto. Los certificados SSL están incluidos en todos los planes y se aplican automáticamente cuando se conecta un sitio o un dominio propio. No hay nada que configurar ni ninguna renovación que gestionar. Los visitantes que miren la barra de direcciones verán HTTPS y el candado desde el primer día.

Las redirecciones de HTTP a HTTPS están activas a nivel de plataforma, así que los visitantes siempre llegan a la versión segura del sitio, sea cual sea la forma en que lleguen. Los avisos de contenido mixto, que aparecen cuando una página carga por HTTPS pero algunos elementos no, no son un problema porque todos los recursos servidos a través de la plataforma usan HTTPS en todo momento.

Mira qué incluye en el creador de webs de WEMASY o consulta los planes en la página de precios.

Preguntas frecuentes