Para saber si una web es segura antes de pagar, el candado sirve de poco, porque lo tienen casi todas, también las tiendas falsas. En treinta segundos se comprueba lo que importa: que la dirección sea exactamente la de la tienda que buscas, que el navegador no avise de nada, que el aviso legal diga qué empresa hay detrás, con NIF y domicilio, y que se pueda pagar con algo distinto de una transferencia.
El propio Google quitó el candado de la barra de Chrome en 2023, después de comprobar que solo el 11 % de los participantes en su estudio entendía bien lo que significaba[1]. El riesgo no es pequeño. En 2025 las fuerzas de seguridad registraron en España 488.426 ciberdelitos, y casi nueve de cada diez fueron estafas informáticas[2]. Esas mismas comprobaciones, vistas desde el otro lado, son lo que una tienda honrada tiene que enseñar.
Qué garantiza el candado de una web segura y qué no
El candado, o la «s» de https, quiere decir que la conexión va cifrada y que lo que envías y recibes en esa web es privado entre tu navegador y ella[3]. Por eso la ayuda de Chrome pide cuidado con los datos personales «incluso en los sitios seguros» y comprobar el nombre del sitio en la barra de direcciones[3].
El certificado que lo enciende es gratis. Con Let's Encrypt, cualquiera que tenga un dominio lo consigue sin coste[4], tenga buenas o malas intenciones. Tampoco es una rareza, porque entre el 95 y el 99 % de las páginas que se abren en Chrome ya van por HTTPS[5]. Al anunciar que lo retiraba en Chrome 117, Google admitió que casi todas las webs de phishing (las copias hechas para robar datos) usan HTTPS y enseñan el candado como cualquier otra[1].
Lo que sí cuenta es que falte el cifrado. En Chrome, donde el candado ya es un icono de ajustes[1], la señal es el aviso «No es seguro» junto a la dirección. Si sale, la conexión no es privada y ahí no se escribe ni una contraseña ni una tarjeta[3].
Google anunció en 2025 que, a partir de Chrome 154, el navegador pediría permiso antes de abrir por primera vez una web pública sin HTTPS[5]. Esa versión se publicó el 22 de septiembre de 2026 y se instala de forma escalonada[6]. Si tu Chrome no lo hace, se puede activar a mano en la configuración, dentro de Privacidad y seguridad, Seguridad, con la opción «Usar siempre conexiones seguras», que avisa antes de entrar en un sitio sin HTTPS[7].
El candado dice que nadie lee lo que escribes. No dice a quién se lo estás escribiendo.
Cómo se lee la dirección de una web
En una dirección web manda el dominio, que es lo último antes de la barra «/» que sigue al https://, es decir, la extensión (.es, .com) y la palabra pegada a su izquierda. Todo lo que hay delante lo elige el dueño de ese dominio, incluido el nombre de una marca que no es suya.
El otro truco es el parecido. INCIBE avisa de que algunas webs fraudulentas copian el nombre de una marca o la web original cambiando solo alguna letra o carácter[8]. Si llegas desde un anuncio o un mensaje, escribe tú la dirección o búscala; con los correos pasa igual, como contamos en cómo saber si un correo es falso.
Los avisos del navegador y tres consultas gratis
Una pantalla roja que ocupa toda la página significa que la Navegación Segura de Google ha marcado el sitio como peligroso[3]. Ante ese aviso se cierra la pestaña. Con «La conexión no es privada», que señala un problema del sitio, de la red o de tu dispositivo[3], tampoco se compra.
Que no salga nada no prueba que la web sea de fiar, porque la Navegación Segura avisa de los sitios que ya ha catalogado como peligrosos[9], y una tienda abierta hace unos días puede no estar todavía en su lista. Si te quedan dudas, hay tres consultas más, gratis y de un par de minutos:
- Estado del sitio
- En el Informe de Transparencia de Google pegas la dirección y te dice si la Navegación Segura ha encontrado en ella contenido peligroso[9].
- Acerca de esta página
- Se abre en Chrome desde el icono de la izquierda de la dirección y, si Google lo sabe, dice cuándo indexó el sitio por primera vez[3]. Si presume de veinte años de oficio y Google la vio por primera vez el mes pasado, conviene mirar más, porque puede ser un negocio veterano que estrena web o una tienda recién montada.
- Fecha del dominio
- ICANN Lookup, el buscador público de ICANN, enseña los datos de registro de un .com, un .shop o un .store (no de un .es), con su fecha de alta[10].
El aviso legal y quién hay detrás de la tienda
Toda web que vende desde España tiene que decir quién es, de forma permanente, fácil, directa y gratuita. Lo manda el artículo 10 de la Ley de Servicios de la Sociedad de la Información, la LSSI[11]. Busca el enlace «Aviso legal» al pie y comprueba que aparecen:
- ✓El nombre o la razón social.
- ✓El NIF.
- ✓Un domicilio y un correo electrónico reales, más allá de un formulario.
- ✓Los datos del Registro Mercantil, si es una sociedad.
La misma ley pide información clara sobre el precio, si incluye impuestos y cuánto cuesta el envío[11].
Un aviso legal vacío, copiado de otra web o con un NIF que no corresponde al nombre es mala señal. Mira también las devoluciones. Si compras como particular, a distancia tienes catorce días naturales para desistir sin dar explicaciones[12], salvo excepciones como los productos personalizados o los que caducan pronto. Una tienda que avisa de que «no se admiten devoluciones» en unas zapatillas incumple la ley, que anula las cláusulas de renuncia a ese derecho[12], o no piensa responder.
Si enseña un sello de confianza, púlsalo. Según Confianza Online, el suyo es válido si al pincharlo lleva a una ficha de la empresa en su web con la confirmación de que está adherida; si no lleva a ninguna parte, búscala en su lista de adheridos[13].
Una forma de pago que te deje reclamar
La hoja de ruta de INCIBE para detectar tiendas fraudulentas aconseja no comprar si la tienda solo admite transferencias, MoneyGram o Western Union[8]. Cuenta como buena señal que acepte PayPal, tarjeta, Bizum, Google Pay o Apple Pay[8]. Según el Banco de España, una transferencia, por regla general, no se puede anular[14]. Si el dinero ya ha llegado, queda pedir a quien lo recibió que lo devuelva y, si se niega, ir a los tribunales[14].
Que la tarjeta y Bizum sean buena señal no quiere decir que el dinero vuelva solo. Un pago con tarjeta que has autorizado es, como una transferencia, un mandato de pago irrevocable, según el Banco de España[15]. Tu banco tramita la reclamación ante Visa o Mastercard, pero si pagaste de buena fe, lo normal es que solo recuperes el dinero si quien lo cobró lo consiente[15]. Con Bizum, también según el Banco de España, las devoluciones dependen de la política de cambios del comercio[16].
Con PayPal, la Protección del comprador cubre el pedido que no llega y el que es muy distinto al descrito, con 180 días desde el pago para reclamar el primero[17]. No cubre los pagos hechos como «amigos y familiares»[17]; si una tienda te pide pagar así, desconfía. Al pagar, INCIBE aconseja comprobar que te llevan a la pasarela segura del medio que has elegido[8].
Sin humo: ninguna de estas comprobaciones demuestra por sí sola que una tienda sea falsa, e INCIBE recuerda que con un solo indicio, en general, no se puede dar un sitio por malicioso[18]. Para no pagar, en cambio, basta uno, porque su hoja de ruta aconseja no comprar si alguna respuesta sale mal[8].
Lo que mira tu cliente si tienes una tienda
Todo lo anterior es lo que mira, antes de pagarte, un cliente que no te conoce. Lo solemos repasar al montar una tienda:
- HTTPS en todas las páginas
- El certificado es gratis[4]. Google anunció que Chrome 154, ya publicado, pediría permiso antes de abrir por primera vez una web pública sin él[5][6].
- Dominio y aviso legal
- El nombre del negocio, sin añadidos raros, y a tu nombre (lo explicamos en la diferencia entre dominio y hosting). El aviso legal, completo como pide la LSSI[11].
- Una web sin intrusos
- Si alguien la compromete, la Navegación Segura avisa al dueño[9], pero mientras se limpia tus clientes pueden encontrarse la pantalla roja. Cuida las claves de quien la gestiona, como contamos en contraseñas seguras en la empresa.
Si vas a abrir una, empieza por cómo montar una tienda online, y si la encargas, pide que el diseño web incluya todo esto desde el primer día.
Dudas rápidas
¿El candado significa que una web es segura?
No. Significa que la conexión va cifrada[3]. El certificado lo consigue gratis cualquiera con un dominio[4], y casi todas las webs de phishing lo muestran[1].
¿Cómo compruebo si una página web es fraudulenta?
Consulta su estado en el Informe de Transparencia de Google[9], mira cuándo se registró el dominio[10] y busca un aviso legal con NIF y domicilio[11]. Un indicio suelto no demuestra que sea falsa[18], pero basta para no comprar[8].
¿Qué forma de pago es más segura en una tienda que no conozco?
Una que te deje reclamar, como PayPal, cuya protección cubre el artículo que no llega o que es muy distinto al descrito[17]. Evita la transferencia, que, según el Banco de España, por regla general no se puede anular[14].
¿Qué hago si ya he pagado en una web falsa?
Llama a tu banco cuanto antes y guarda capturas de la web, los correos y el pedido[19]. Si pagaste con PayPal, abre una disputa por artículo no recibido[17]. INCIBE recomienda también poner una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado[19]. Si no sabes cómo seguir, el 017 de INCIBE es gratuito y atiende todos los días de 8:00 a 23:00[20].
Fuentes
[1] Adrian, D., Chen, S., DeBlasio, J., Stark, E. y von Zezschwitz, E. (2023, 2 de mayo). An Update on the Lock Icon, Chromium Blog (en inglés). enlace
[2] Ministerio del Interior. (2026, 10 de julio). Los ciberdelitos representaron en 2025 casi el 20 por ciento de la criminalidad total en España, nota de prensa sobre el Informe sobre la Cibercriminalidad en España, publicada en La Moncloa. enlace
[3] Google. Comprobar si la conexión de un sitio es segura, Ayuda de Google Chrome, consultada el 2 de octubre de 2026. enlace
[4] Let's Encrypt. (2021, 12 de febrero). Acerca de Let's Encrypt, última actualización de la página, consultada el 2 de octubre de 2026. enlace
[5] Thompson, C., Acer, M. E., Chen, S., DeBlasio, J., Stark, E. y Adrian, D. (2025, 28 de octubre). HTTPS by default, Google Online Security Blog (en inglés). enlace
[6] Sista, S. (2026, 22 de septiembre). Stable Channel Update for Desktop, Chrome Releases, anuncio del paso de Chrome 154 al canal estable (en inglés). enlace
[7] Google. Gestionar la seguridad y la protección de Chrome, Ayuda de Google Chrome, apartado «Activa Usar siempre conexiones seguras», consultada el 2 de octubre de 2026. enlace
[8] INCIBE. Hoja de ruta para comprobar si una tienda online es segura o fraudulenta, ficha de la Oficina de Seguridad del Internauta para el programa Experiencia Senior (PDF, sin fecha), consultada el 2 de octubre de 2026. enlace
[9] Google. Google Safe Browsing, portada del servicio, consultada el 2 de octubre de 2026 (en inglés). enlace
[10] ICANN. ICANN Lookup, consulta de los datos de registro de un dominio, consultada el 2 de octubre de 2026. enlace
[11] Jefatura del Estado. (2002, 11 de julio). Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico, artículo 10, BOE núm. 166, texto consolidado. enlace
[12] Ministerio de Sanidad y Consumo. (2007, 16 de noviembre). Real Decreto Legislativo 1/2007, texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios, artículos 102 y 103, BOE núm. 287, texto consolidado. enlace
[13] Confianza Online. Guía práctica para consumidores. Quiénes somos y cómo podemos ayudarte, apartado «¿Cómo saber si un Sello es válido?» (PDF, sin fecha), consultada el 2 de octubre de 2026. enlace
[14] Banco de España. (2023, 15 de junio). ¿Cuándo llegará una transferencia a destino? ¿Puedo anularla? ¿Conoces las horas de corte?, blog del Portal del Cliente Bancario. enlace
[15] Banco de España. (2023, 14 de agosto). ¿Has pagado algo por internet y no te ha llegado el producto que esperabas? Esto te interesa, blog del Portal del Cliente Bancario. enlace
[16] Banco de España. (2024, 8 de febrero). Compras online con Bizum: guía práctica para consumidores, blog del Portal del Cliente Bancario. enlace
[17] PayPal. (2024, 28 de mayo). Protección del comprador de PayPal, condiciones para España, fecha de su última actualización (PDF). enlace
[18] INCIBE. Compras seguras online, temática de Ciudadanía, consultada el 2 de octubre de 2026. enlace
[19] INCIBE. (2022, 20 de abril). Consejos post-compras, blog de Ciudadanía, apartado «¿Qué podemos hacer si hemos sido víctimas de un fraude?». enlace
[20] INCIBE. Tu Ayuda en Ciberseguridad, línea de ayuda 017, consultada el 2 de octubre de 2026. enlace
¿Tu tienda pasa estas comprobaciones?
Miramos tu web como la vería un cliente que no te conoce, antes de pagar: certificado, dominio, aviso legal y forma de pago. Sin compromiso.