Alcance
Qué permite comprobar esta guía
Comprobar un QR recibido por email, SMS, cartel o documento antes de abrir su enlace.
Última revisión: 1 de agosto de 2026
Seguridad QR
¿Cómo comprobar si un código QR es seguro?
La imagen no revela el destino. Primero hay que decodificar, leer el dominio completo y rechazar protocolos peligrosos.
Puntos clave
Respuesta breve
- Decodificar no debe abrir automáticamente.
- Protocolo y dominio completo son esenciales.
- Urgencia, pago o login inesperados son alertas.
- OnSubmit señala riesgos locales pero no garantiza la seguridad remota.
Qué es el quishing
Es phishing que oculta un destino web dentro de una imagen QR.
El riesgo procede del contenido, de la página abierta y de la acción solicitada, no de la matriz por sí sola.
Controles de URL
- Prefiere HTTPS y rechaza javascript:, data:, file: y vbscript:.
- Lee el dominio de derecha a izquierda.
- Comprueba errores, caracteres parecidos, Punycode y puertos extraños.
- Desconfía de IP locales, localhost y enlaces acortados.
- Entra por la app o web conocida si se solicitan credenciales o pago.
Límites del control local
| Puede | No puede |
|---|---|
| Mostrar el contenido exacto | Garantizar la seguridad futura |
| Identificar protocolo y dominio | Detectar todo phishing |
| Evitar apertura automática | Sustituir antivirus o reputación |
| Marcar patrones | Probar la identidad del dominio |
Herramientas relacionadas
Aplicar la guía a datos de prueba
Estas herramientas permiten generar, validar o estructurar los valores explicados en la guía.
Guías relacionadas
Continuar con un tema conectado
Guía de códigos QR Código QR estático o dinámico: diferencias y usos Un QR estático guarda el dato final en la matriz. Un QR dinámico suele guardar una URL intermedia gestionada por un servicio de redirección. Calidad de QR Tamaño de impresión, zona silenciosa y corrección QR El tamaño físico depende del número de módulos, la zona silenciosa y el tamaño impreso de cada módulo.
Fuentes
Referencias oficiales y primarias
FAQ
Preguntas sobre este tema
¿Cómo escanear sin abrir el enlace?
Usa un lector que muestre el contenido y exija otra acción para abrir.
¿Escanear puede instalar malware al instante?
Normalmente solo decodifica texto; el riesgo aumenta al abrir, descargar, instalar o enviar datos.
¿HTTPS garantiza que es seguro?
No. Un sitio de phishing también puede usar un certificado válido.
¿Qué es un dominio Punycode?
Es una representación ASCII de dominios internacionales que también puede usarse con caracteres parecidos.
¿OnSubmit garantiza la seguridad?
No. Hace comprobaciones locales explicables, no análisis remoto de reputación.