¿Esta web tiene virus? Cómo saber si una página es segura antes de entrar

Te ha saltado una pantalla roja al abrir un enlace, o una página te parece rara. Esta guía es para ti si vas a entrar (o ya has entrado) en una web que no es tuya: cómo comprobarla antes de abrirla, qué significa cada aviso y qué hacer si ya has descargado algo o metido tus datos.

La respuesta corta: en un minuto, y sin abrirla, puedes saber si alguna lista de seguridad la tiene marcada. No es una garantía, pero suele resolver la duda.

Cómo saber en un minuto si una web es segura antes de entrar

Copia el enlace sin abrirlo (clic derecho y «Copiar dirección del enlace», o pulsación larga en el móvil) y pégalo en uno de estos comprobadores:

1. Estado del sitio de Navegación segura de Google. Pega el dominio en el Informe de transparencia de Google y te dirá si Google lo considera peligroso ahora mismo. Es la lista que consultan Chrome y otros navegadores, y según Google protege a más de cinco mil millones de dispositivos cada día.
2. VirusTotal. En la pestaña URL de VirusTotal, la dirección se contrasta con más de 70 antivirus y servicios de listas de bloqueo. Comparte los resultados con sus socios, su comunidad y sus clientes de pago, así que no pegues enlaces que lleven datos tuyos, como uno de restablecer contraseña o el de un pedido.
3. PathScan, el escáner gratuito de PathSentinel. En comprobar una web analizas una dirección pública en 10 a 25 segundos, sin registro. Mira la reputación de la URL en la lista Web Risk de Google y señales visibles desde fuera: redirecciones a otros dominios, indicios de phishing, JavaScript ofuscado o si la web enseña a Google algo distinto que a un visitante. No entra en el servidor: un resultado limpio significa que no ha encontrado nada en lo analizado ese día, no que la web esté certificada.

Cómo leer lo que te digan

Resultado	Qué significa	Qué hacer
Google la marca como no segura	Está en la lista de Navegación segura por phishing, malware o software no deseado	No entres
Varios motores de VirusTotal la marcan como phishing o malware	Hay coincidencia entre fuentes independientes	No entres
Un solo motor con una etiqueta genérica	Puede ser un falso positivo, que VirusTotal reconoce que existen	Si entras, no metas datos ni descargues nada
Todo limpio	No consta en ninguna lista consultada	Revisa igualmente las señales de abajo

Ojo con lo último: las listas solo contienen lo ya detectado. Una web falsa montada esta mañana puede no figurar en ninguna, así que un «limpio» rebaja la sospecha pero no la elimina.

Qué significa cada aviso del navegador y qué hacer si te sale

Estos avisos salen antes de que cargue la página: el navegador encuentra la dirección en su lista y te para. No significa que ya estés infectado; es la protección haciendo su trabajo.

Chrome: «Sitio peligroso», «sitio engañoso» o «contiene malware»

La ayuda de Chrome llama hoy «Sitio peligroso» a la pantalla roja que sale cuando detecta phishing, malware, software no deseado o ingeniería social. Quizá la recuerdes como «el sitio web al que vas a acceder es engañoso» o «contiene malware»: el texto cambia según la versión y el tipo de amenaza. La pista está en la palabra clave:

• Engañoso apunta a phishing o ingeniería social: contenido que intenta que hagas algo que solo harías con alguien de confianza, como dar una contraseña o descargar un programa (Google Search Central).
• Malware o programas dañinos apunta a código o descargas pensados para dañar tu equipo o cambiar tu navegador sin permiso (Google Search Central).

Qué hacer: cierra la pestaña. Google recomienda no visitar el sitio y desaconseja la opción «Detalles» y «Visitar este sitio no seguro»; nunca la uses en una página donde vayas a escribir datos o descargar algo.

Chrome: «¿Querías decir…?» o «Sitio web falso»

Sale cuando la dirección se parece mucho a la de un sitio conocido o a una que visitas a menudo (ayuda de Chrome): una letra cambiada o un guion de más en la dirección de tu banco. No sigas el enlace; escribe tú la dirección o usa tu marcador.

Microsoft Edge: SmartScreen

Edge usa SmartScreen, la lista de Microsoft, así que una web puede estar bloqueada en un navegador y no en el otro. Según el soporte de Microsoft, puede avisarte de un sitio sospechoso (continúa con precaución), bloquear un sitio que figura como phishing o software malintencionado, o bloquear una descarga que coincide con un programa malicioso conocido. Ante un bloqueo, no sigas; ante una sospecha, no metas datos ni descargues nada.

El aviso de tu antivirus

Cada antivirus tiene su propia lista y puede bloquear una web que el navegador deja pasar, o al revés. Hazle caso igual que a Chrome y no lo desactives «un momento» para poder entrar.

«No es seguro» o «La conexión no es privada»

Estos avisos hablan de la conexión, no del contenido: el cifrado falla o el certificado no es válido. No significan que tenga virus, pero no escribas contraseñas ni pagues ahí. Y el candado tampoco ha significado nunca que una web sea de fiar. Google anunció en 2023 que lo cambiaría en Chrome por un icono neutro porque en un estudio solo el 11 % de los participantes entendía qué significaba exactamente el candado, y mucha gente lo usaba para decidir si una tienda era de confianza.

Señales de que una web es falsa o está infectada

Aunque no salte ningún aviso, estas señales justifican cerrar la pestaña:

• La dirección se parece, pero no es. Otra terminación (.top en lugar de .es) o la marca metida en un subdominio, como tubanco.es.otra-cosa.com. Lo que manda es lo que va justo antes de la primera barra.
• Te pide datos que no tocan. La contraseña del correo para «ver un documento», la tarjeta para «liberar un paquete» o el código que te llega por SMS.
• Te mete prisa. «Tu cuenta se bloqueará en 24 horas», contadores, ofertas que caducan en minutos.
• Te dice que actualices algo o te ofrece botones de descarga sospechosos. Las ventanas de «tu software está desactualizado» y los anuncios disfrazados de botones son ejemplos de contenido engañoso que pone el propio Google. Igual de mala señal: descargas que empiezan solas.
• Te pide permitir notificaciones nada más entrar, a menudo con excusas como «pulsa Permitir si no eres un robot». Si aceptas, podrá mandarte avisos aunque la cierres.
• Te redirige. Entras en una tienda o en un blog y acabas en un casino, un sorteo falso o una farmacia. Aquí la web puede ser legítima pero estar hackeada; lo explicamos en redirecciones maliciosas.
• No hay nadie detrás. Precios imposibles y ningún dato de empresa. En España, quien vende o presta servicios por internet está obligado a mostrar su nombre o razón social, su domicilio, un correo de contacto y su NIF (artículo 10 de la LSSI). Si no aparecen, desconfía.

Ya he entrado, he descargado algo o he metido mis datos: qué hago

Ve directamente a tu caso.

Solo entré y cerré

Si no descargaste nada ni escribiste ningún dato, lo más probable es que no haya pasado nada (lo explicamos en las preguntas frecuentes). Para quedarte tranquilo: actualiza el navegador, revisa que no hayas aceptado notificaciones ni extensiones nuevas y pasa un análisis rápido con tu antivirus.

Acepté notificaciones o instalé una extensión

En Chrome, las notificaciones se quitan en Configuración, Privacidad y seguridad, Configuración de sitios, Notificaciones (ayuda de Chrome). Elimina las extensiones que no reconozcas. Si además han cambiado tu página de inicio o tu buscador, Google recomienda desinstalar los programas desconocidos y usar «Restablecer configuración», reactivando después solo las extensiones de confianza (ayuda de Chrome).

Descargué o abrí un archivo

1. Si aún no lo has abierto, bórralo sin abrirlo.
2. Si lo abriste, analiza el equipo con un antivirus actualizado y elimina lo descargado, como recomienda INCIBE.
3. Si es un ordenador del trabajo, avisa hoy a quien lleve la informática.
4. Si el archivo pidió permisos o instaló algo, cambia desde otro dispositivo las contraseñas que guardabas en el navegador. Hay programas hechos para robarlas: lo explicamos en qué es un infostealer.

Metí una contraseña

1. Cámbiala ya, y también en cualquier otro servicio donde usaras la misma.
2. Activa la verificación en dos pasos donde se pueda, otra recomendación de INCIBE.
3. Cierra las sesiones abiertas desde los ajustes de seguridad de esa cuenta.
4. Comprueba si tu correo aparece en filtraciones conocidas con nuestro comprobador de correo filtrado, que es gratuito y no guarda la dirección.

Metí los datos de la tarjeta o hice un pago

1. Llama a tu banco ahora para bloquear la tarjeta y anular los cargos que no reconozcas. INCIBE lo pone como primer paso (fuente).
2. Guarda pruebas: capturas con la dirección visible, el correo o SMS que te llevó y los justificantes.
3. Denuncia ante la Policía Nacional o la Guardia Civil con esas pruebas.
4. Vigila tus movimientos las semanas siguientes.

Para orientarte, llama al 017, la Línea de Ayuda en Ciberseguridad de INCIBE: es gratuita y confidencial, atiende de 8:00 a 23:00 todos los días del año y también por WhatsApp (900 116 117) y Telegram (@INCIBE017). Y si la web era falsa, puedes denunciarla a Navegación segura de Google para que el siguiente reciba el aviso.

¿Tiene virus la web o los tiene tu navegador?

A veces lo que falla es tu equipo, no la página. Google enumera como señales de software no deseado en tu ordenador los anuncios emergentes y pestañas que no se cierran, la página de inicio o el buscador que cambian solos, extensiones que reaparecen, redirecciones a páginas que no conoces y alertas de virus o de dispositivo infectado (ayuda de Chrome). Las notificaciones que aceptaste hace semanas también pueden mostrarte falsos avisos de «virus» encima de cualquier web.

La prueba es sencilla: abre la misma web desde otro dispositivo, por ejemplo el móvil con datos.

Lo que ves	Lo más probable
Pasa en muchas webs distintas, solo en tu ordenador	Extensión, programa o notificaciones en tu navegador
Pasa en esa web, desde cualquier dispositivo	La web está hackeada o es fraudulenta
Pasa en esa web solo a veces o solo desde el móvil	Puede ser una web hackeada que redirige de forma selectiva; trátala como peligrosa

¿La web es tuya y sale este aviso?

Si eres el dueño y tus clientes ven una pantalla roja o acaban en otra página, tienes dos guías: cómo saber si tu web tiene virus en 15 minutos y cómo quitar el aviso de «Sitio peligroso» o «Sitio engañoso» de Chrome. Si solo quieres una primera opinión, analiza tu web gratis con PathScan.

Preguntas frecuentes

¿Puede una web meterme un virus solo por entrar?

Es poco habitual pero posible: Google distingue el malware que actúa sin que hagas nada de las descargas dañinas que tienes que aceptar. Tener el navegador y el sistema actualizados es la mejor defensa contra ese tipo de ataque. Lo frecuente es otra cosa: que la web te convenza de descargar algo, de aceptar notificaciones o de escribir tus datos. Si solo entraste y cerraste, actualiza y pasa el antivirus.

Me sale el aviso en una web que uso siempre: ¿qué hago?

No entres por ese enlace. Escribe tú la dirección o usa tu marcador: muchas veces el enlace llevaba a una copia con un dominio casi idéntico. Si el aviso sale también en la dirección auténtica, puede que la web esté hackeada y su dueño aún no lo sepa. Espera, no metas datos y, si tienes confianza con la empresa, avísales: les harás un favor.

Si Safe Browsing y VirusTotal dicen que está limpia, ¿puedo fiarme?

Te dicen que nadie la ha marcado todavía, que no es lo mismo. Las listas solo contienen lo que ya se ha detectado, y una web de phishing recién creada puede tardar en aparecer. Úsalas como primer filtro y combínalas con las señales de esta guía: dirección parecida a otra, prisa, datos que no tocan o descargas inesperadas. Ante la duda, no metas la tarjeta.

¿Dónde denuncio una web falsa?

Para que otros reciban el aviso, denúnciala en el formulario de Navegación segura de Google, y en Edge desde «Configuración y más», «Ayuda y comentarios», «Informar de un sitio web no seguro». Si has perdido dinero o datos, presenta denuncia ante la Policía Nacional o la Guardia Civil con capturas y justificantes. El 017 de INCIBE te orienta gratis sobre los pasos.

Fuentes consultadas

• Google: advertencias sobre sitios no seguros en Chrome, eliminar software no deseado, notificaciones en Chrome, ingeniería social, software malicioso y no deseado, Navegación segura y blog de Chromium sobre el candado.
• Microsoft: SmartScreen en Microsoft Edge.
• VirusTotal: cómo funciona.
• INCIBE: qué es el phishing y Línea de Ayuda en Ciberseguridad 017.
• BOE: Ley 34/2002 (LSSI).