Empecemos por corregir el consejo más repetido en español, porque hace daño: el candado y el HTTPS no indican que un sitio sea seguro.
Un certificado confirma que la conexión va cifrada, nada más. Los certificados gratuitos se emiten de forma automática en minutos y los sitios de phishing llevan años usando HTTPS. El candado describe el canal, no a quien está al otro lado. Si tu única comprobación es esa, no estás comprobando nada.
Lo que sí funciona requiere leer la dirección. Y ahí aparece el problema de fondo de los enlaces acortados.
Por qué un enlace acortado no se puede juzgar a simple vista
Una dirección normal habla de sí misma: se ve el dominio, la zona, a menudo la sección del sitio. Antes de hacer clic ya has notado si algo no encaja.
Un enlace acortado funciona al revés. Muestra el dominio del acortador y unos caracteres aleatorios. Ocultar el destino no es un efecto secundario, sino la consecuencia directa de cómo opera la tecnología: el acortador guarda la correspondencia entre el código corto y la URL completa, y devuelve al navegador una redirección HTTP. La mecánica está explicada en cómo funcionan los acortadores de enlaces.
La regla principal: las señales se suman
Esta es la idea más importante del artículo y la que suele faltar en las guías.
Casi ninguna señal de las que siguen demuestra nada por sí sola. Un dominio en .xyz no es un delito. Los guiones en un nombre de dominio son normales en miles de empresas legítimas. Un dominio con caracteres no latinos es perfectamente legal. La palabra envio aparece en direcciones reales de mensajería.
El peligro surge cuando varias señales débiles coinciden en la misma dirección. Un dominio con una marca ajena ya es grave. Esa marca más una zona barata más guiones más un registro de la semana pasada es prácticamente un diagnóstico.
No busques la señal de alarma. Cuenta cuántas se acumulan.
Hay una excepción: las cuatro señales del primer grupo bastan por sí mismas.
Primer paso: expandir el enlace sin abrirlo
Mientras no conozcas el destino no hay nada que evaluar.
Leer las cabeceras de respuesta. El acortador responde con una redirección y el destino está en la cabecera Location:
bash curl -sI https://ejemplo-acortador.com/abc123 | grep -i location
La opción -I pide solo las cabeceras y, sin -L, curl no sigue la redirección. Es el método más fiable porque no se renderiza nada ni se ejecuta ningún script.
Usar un expansor. Existen servicios que reciben el enlace corto y devuelven la dirección final, a veces con toda la cadena de redirecciones intermedias.
Consultar bases de reputación. VirusTotal analiza la dirección con decenas de motores y Google Safe Browsing indica si el sitio figura en la lista de recursos no seguros de Google.
Conviene ser honesto sobre lo que significa un resultado limpio: un dominio de phishing registrado hoy todavía no está en ninguna base. La ausencia de aviso es ausencia de información, no una confirmación de seguridad.
Cuatro señales que bastan por sí solas
1. Un esquema que no debería acortarse
La dirección empieza por javascript:, data:, file: o attachment:.
No tienen uso legítimo en un enlace distribuido. javascript: intenta ejecutar código en el contexto de la página abierta y data: incrusta el contenido en la propia dirección, esquivando cualquier comprobación de dominio: no hay dominio que comprobar.
Los habituales http: y https: no plantean problema. Tampoco los esquemas de aplicación como tg:, sms: o market:, que simplemente abren una app instalada.
2. Credenciales dentro de la dirección
Parece un enlace a PayPal. Lleva a evil.top.
Todo lo que aparece antes de la @ lo interpreta el navegador como usuario y contraseña: es el componente userinfo definido en el RFC 3986. El host real es lo que va después de la @.
El truco es antiguo y sigue funcionando porque la vista se ancla al principio de la cadena. En un enlace público legítimo nunca hay credenciales.
3. Una IP en lugar de un dominio
Una IP desnuda no tiene historial, ni reputación, ni titular que se pueda consultar. Un negocio real no tiene motivos para publicar un formulario de acceso en una IP cuando un dominio cuesta céntimos y es la base de la confianza.
4. El enlace apunta directamente a un ejecutable
Extensiones como .exe, .scr, .jar, .ps1 o .hta al final de la dirección.
Aquí hace falta un matiz, porque no todos los archivos son iguales. Distribuir el instalador propio mediante un enlace corto es un escenario normal, y .apk, .msi o .dmg de un desarrollador conocido no llaman la atención. En cambio .scr (salvapantallas de Windows) y .hta prácticamente han dejado de tener uso legítimo.
Suplantación de una marca conocida
5. Marca ajena en el dominio
paypal-verificacion.top dhl-seguimiento.xyz amazon-entrega-estado.online
La señal más fuerte que se puede leer a simple vista. La lógica es sencilla: si un dominio invoca una marca pero no pertenece a ella, alguien quiere que las confundas.
Un error extendido es creer que el phishing solo vive en zonas baratas. Los dominios en .com y .es se registran igual. La zona añade sospecha; que sea respetable no quita ninguna.
6. Punycode y homógrafos
El dominio empieza por xn--, o en la barra aparecen caracteres parecidos a los latinos sin serlo.
Las letras cirílicas а, е, о, р, с son visualmente idénticas a las latinas a, e, o, p, c. Un dominio en el que se ha sustituido una letra por su gemela de otro alfabeto se ve exactamente igual que el original, pero es otro dominio. Codificado se convierte en una cadena que empieza por xn--.
El punycode en sí es legítimo: sobre él funcionan todos los dominios en alfabetos no latinos, incluidos los que llevan ñ o tildes. Se vuelve preocupante justo cuando el nombre decodificado reproduce una marca conocida.
7. La forma del dominio
paypal.com.acceso.seguro.top santander-es-clientes-acceso.xyz
La técnica consiste en enterrar un dominio real dentro de otro ajeno. En el primer ejemplo el host verdadero es top; paypal.com es solo parte de un subdominio. El navegador lee los dominios de derecha a izquierda y las personas de izquierda a derecha, y en esa diferencia se apoya todo el engaño.
La propia forma es la señal: demasiados niveles de anidamiento, demasiados guiones, un nombre anormalmente largo. No hace falta reconocer la marca para que la forma resulte sospechosa.
Localiza los dos últimos elementos antes de la primera barra suelta: ese es el dominio real. Todo lo que queda a su izquierda es decoración.
Indicios de dominio desechable
Este grupo responde a una pregunta: ¿se registró el dominio para un proyecto real o se generó en lote para una campaña?
8. Un identificador en el nombre
id-12345.top pedido_987.co envio123.xyz
Estos nombres se generan automáticamente, a menudo uno por víctima. Un negocio legítimo quiere un nombre memorable, no un número de serie.
9. Dominio compuesto solo por cifras
Aquí importa la longitud, y no es un tecnicismo. Los dominios numéricos cortos pueden ser legítimos y enormes: 163.com, 126.com, 58.com y 4399.com son servicios chinos muy conocidos.
En cambio, un nombre de diez cifras como 8729130461.top no lo registra nadie a mano. Esos aparecen por lotes.
10. La zona del dominio
Las zonas se diferencian por precio y por barrera de entrada, y eso se refleja en las estadísticas de abuso. Donde el registro cuesta céntimos y no exige comprobaciones, se registra en masa.
Conviene no exagerar. Las zonas comerciales masivas — .shop, .online, .store, .info — son las de tiendas normales, y meterlas en el mismo saco que .cfd genera falsas alarmas continuas. La zona no decide nada por sí sola; solo pesa acompañada.
11. Hosting gratuito y constructores de páginas
*.pages.dev *.web.app *.ngrok-free.app
El dominio de segundo nivel es de la plataforma y lo comparten todos sus usuarios. Su reputación no dice nada del subdominio concreto, y crear otro subdominio tras un bloqueo no cuesta nada.
En estas plataformas hay muchísimos proyectos normales. Pero si en una dirección así se abre el formulario de acceso de un banco, no es el banco.
Contexto
12. Cadena de acortadores
Expandiste el enlace corto y obtuviste otro enlace corto.
Casi no hay motivos legítimos para encadenarlos. Sí es, en cambio, una forma habitual de burlar las comprobaciones: el servicio revisa el dominio de destino, encuentra un redirector limpio y la dirección real sigue oculta un salto más allá.
Expande hasta llegar a un dominio corriente.
13. Palabra gancho en el dominio
Partículas como acceso-, seguro-, pago-, envio-, verificar-.
La señal más débil de la lista, y así hay que tratarla: envio-express.com puede ser una mensajería real. Su valor aparece solo sumada a la zona, la forma o la marca.
14. Cómo te llegó el enlace
La última señal no está en la dirección.
¿Esperabas ese enlace? ¿El remitente es quien dice ser? ¿El mensaje mete prisa — cuenta bloqueada en una hora, paquete retenido en aduanas, premio que caduca hoy? ¿Llegó por mensaje privado de una cuenta desconocida o en un comentario ajeno?
La urgencia combinada con un enlace acortado es un patrón constante. La prisa existe precisamente para que te saltes todo lo anterior.
Resumen
| Grupo | Señal | Peso |
|---|---|---|
| Concluyentes | Esquema javascript:, data:, file: | Basta una |
| Concluyentes | Credenciales antes de @ | Basta una |
| Concluyentes | IP en lugar de dominio | Basta una |
| Concluyentes | Archivo ejecutable (.scr, .hta) | Basta una |
| Suplantación | Marca ajena en el dominio | Alto |
| Suplantación | Punycode con marca | Alto en combinación |
| Suplantación | Forma del dominio, guiones | Medio |
| Dominio desechable | Patrón id-12345 | Medio |
| Dominio desechable | Dominio numérico largo | Según longitud |
| Dominio desechable | Zona barata | Bajo, solo sumado |
| Dominio desechable | Hosting gratuito | Bajo, solo sumado |
| Contexto | Cadena de acortadores | Medio |
| Contexto | Palabra gancho | Bajo, solo sumado |
| Contexto | Cómo te llegó | Medio |
Si ya hiciste clic
Abrir un enlace no suele infectar nada por sí mismo: un navegador actual no ejecuta código arbitrario de una página que muestra. El daño empieza después.
- No introduzcas nada. Ni usuario, ni contraseña, ni códigos de SMS, ni datos de tarjeta. El objetivo es el formulario, no el clic.
- Cierra la pestaña y no vuelvas por el mismo enlace.
- Si ya enviaste datos, cambia la contraseña en el sitio real escribiendo la dirección a mano. Si es un banco, llama al número del reverso de la tarjeta.
- Si se descargó un archivo, no lo ejecutes. Bórralo y analiza el equipo.
- Revisa las sesiones activas de la cuenta afectada y cierra las que no reconozcas.
Sobre el acortamiento en sí
Queda una idea equivocada por desmontar: que un enlace acortado sea sospechoso por definición.
Acortar direcciones es una herramienta corriente: ahorra espacio, permite medir los clics y sustituye una URL ilegible con una docena de parámetros. Las ventajas e inconvenientes están recogidos en enlaces cortos: ventajas y desventajas. Lo mismo vale para los códigos QR, que no son más que un contenedor de una dirección que no puedes leer antes de escanear, como se explica en qué es un código QR.
El problema no es acortar. Es que la dirección no se puede leer con los ojos. Eso se resuelve expandiendo el enlace, no renunciando a la tecnología.
Cómo denunciar un enlace malicioso
Si un enlace corto de Lix.li lleva a phishing o a contenido malicioso, denúncialo desde la página de reporte de abusos. Indica el enlace y qué se abrió detrás. El contenido prohibido está enumerado en los términos del servicio y las dudas generales se atienden en soporte.
Denunciar el destino merece la pena con independencia del acortador utilizado. Enviar la dirección final a Google Safe Browsing hace que, una vez confirmada, el aviso alcance a los usuarios de Chrome, Firefox y Safari en general, y no solo a quienes recibieron ese enlace concreto.
