Preguntas frecuentes

Con la cámara y desde una imagen que elijas, la aplicación lee códigos QR, códigos Data Matrix, Aztec y PDF417, y estos códigos de barras: EAN-13, EAN-8, UPC-A, UPC-E, Code 128, Code 39, Code 93, Codabar, ITF, GS1 DataBar, GS1 DataBar Limited y GS1 DataBar Expanded.

Algunos dependen del teléfono o de cómo se lee el código. GS1 DataBar, GS1 DataBar Limited y GS1 DataBar Expanded solo se leen en un iPhone, no en un teléfono Android. Codabar se ha leído con la cámara en un teléfono Android y en un iPhone, pero desde una imagen todavía no se ha leído en ninguno de los dos: la única muestra probada no se leyó. Todavía no se ha comprobado en un iPhone real cómo trata un código UPC-A.

Otros cuatro códigos de barras, Code 11, MSI Plessey, Pharmacode y Telepen, solo se leen desde una imagen que elijas, no con la cámara. El lector de códigos del propio teléfono, que es el que usa la cámara, no tiene formato para ellos, así que la aplicación los lee por sí misma en la imagen. Pharmacode solo se lee del derecho, así que un código que esté al revés en la imagen puede dar otro número: comprueba el número con el envase.

La descripción de la aplicación en la tienda y la página de inicio de este sitio web solo dicen que lee códigos QR, códigos Data Matrix, Aztec y PDF417 y códigos de barras habituales como EAN y Code 128. El aviso que la aplicación muestra antes de tu primer escaneo enumera los códigos por su nombre y deja fuera GS1 DataBar, GS1 DataBar Limited y GS1 DataBar Expanded, que solo se leen en un iPhone; UPC-A, que todavía no se ha comprobado en un iPhone real; y Code 11, MSI Plessey, Pharmacode y Telepen, que solo se leen desde una imagen que elijas y se han confirmado en un teléfono Android, pero todavía no en un iPhone. Aun así, la aplicación los lee cuando puede.

Cuando un código contiene una dirección web que la aplicación puede comprobar, la aplicación la valora, como explica más abajo la respuesta sobre la puntuación de riesgo. El contenido que no es en absoluto una dirección, como los dígitos del código de barras de un producto, los datos de una red wifi o un texto sin formato, se muestra tal como se escaneó y se marca como NO ANALIZADO. Eso no significa que sea seguro. La pantalla de resultado puede ofrecer compartir ese contenido con otra aplicación.

Para los códigos que la aplicación sí lee, consulta ¿Qué códigos lee la aplicación?

Hay otros códigos estándar que la aplicación no admite, como Micro QR, rMQR, MaxiCode, DotCode y Han Xin. Cuando encuentra uno, puede que la cámara no muestre nada o que indique que es un código de barras que no puede identificar; con una imagen que elijas, puede indicar que no ha encontrado ningún código o que es un código de barras que no puede identificar.

Algunas aplicaciones y servicios tienen su propio formato de código, como los Spotify Codes, los Snapcodes de Snapchat y los App Clip Codes de Apple. La aplicación no admite estos formatos, y Spotify no ha publicado ninguna especificación completa de los Spotify Codes. Un Snapcode puede abrir un sitio web y un App Clip Code contiene una dirección web, así que trata lo que abran con el mismo cuidado que cualquier otro enlace.

Un Spotify Code es el logotipo de Spotify seguido de una fila de barras de distintas alturas. No contiene una dirección web, sino un número corto que solo los servidores de Spotify pueden convertir en una dirección de Spotify. Por eso, un Spotify Code abre algo en Spotify. Para usarlo, escanéalo con la aplicación de Spotify.

Convertir un Spotify Code en una dirección exigiría consultar los servidores de Spotify. QR Quishing Detector no lo hace: la aplicación nunca se conecta por sí misma a la dirección de un código, y lo único de un escaneo que puede enviar por internet es un nombre de dominio, para la consulta opcional de antigüedad del dominio que se describe en la política de privacidad.

Si sabes que un código es un código QR normal y la aplicación no lo lee, infórmalo; la respuesta a ¿Cómo informo de un problema o sugiero una función? indica dónde.

Para una dirección web que puede comprobar, la aplicación ejecuta en tu dispositivo una serie de comprobaciones. Cada una examina la forma de la dirección en busca de una señal de alerta, como el nombre de una marca en una dirección que no es una de las direcciones propias de esa marca, un servicio de acortamiento de enlaces que oculta adónde lleva el enlace, o un nombre de usuario delante de una «@» que oculta el destino real. La aplicación nunca visita el sitio, así que no puede ver lo que realmente contiene.

Cada señal de alerta que encuentra una comprobación aparece como un hallazgo, y cada hallazgo suma sus propios puntos a la puntuación; una comprobación puede producir más de un hallazgo, por ejemplo uno por cada nombre de marca de la dirección. La puntuación decide la valoración: RIESGO BAJO, RIESGO MEDIO o RIESGO ALTO. Algunas señales suman más puntos que otras, y cuando la aplicación reconoce un tipo de dirección peligroso, como una dirección javascript:, que ejecuta código en lugar de abrir una página web, el resultado es RIESGO ALTO.

La pantalla de resultado muestra la valoración y la puntuación, y enumera lo que ha encontrado la aplicación, con los puntos que suma cada hallazgo. En la aplicación, Opciones tiene una pantalla «Cómo funciona la puntuación» que enumera todas las comprobaciones con sus puntos y el intervalo de puntuación de cada valoración. La antigüedad del dominio nunca cambia la puntuación, y la comprobación experimental de nombres que imitan marcas, descrita más abajo, solo cuenta cuando la activas.

El contenido que no es en absoluto una dirección, como un texto sin formato, los datos de una red wifi o una tarjeta de contacto, no recibe ninguna valoración: la aplicación lo muestra como NO ANALIZADO. Eso no significa que sea seguro.

La puntuación es una ayuda para tu propio criterio. Una puntuación baja no significa que el enlace sea seguro, y una puntuación alta no es prueba de phishing. Si tienes dudas, no abras el enlace: accede tú mismo a la web o la aplicación oficial de la organización.

La consulta de antigüedad del dominio te dice cuánto tiempo lleva registrado el dominio de una dirección web escaneada. Está desactivada hasta que la actives: en Opciones, activa «Consultar la antigüedad del dominio» y elige «Activar» en el diálogo que la explica. A partir de entonces, la aplicación consulta el dominio de cada dirección web que comprueba, hasta que la vuelvas a desactivar.

Mientras la aplicación está abierta, recuerda las fechas de registro que ha obtenido recientemente, así que un escaneo posterior de una dirección del mismo dominio puede responderse de memoria, sin una nueva petición. Cuando hace falta una petición, la aplicación envía solo el nombre del dominio, como example.com para una dirección en www.example.com, y nunca la dirección completa. Lo envía por HTTPS al registro de la terminación de ese dominio, y la consulta le revela tu dirección IP a ese registro, como cualquier petición por internet. La aplicación nunca se conecta por sí misma al sitio escaneado. La política de privacidad describe qué se envía y a quién.

El resultado aparece debajo de la valoración, en un recuadro «Antigüedad del dominio». Indica hace cuánto se registró el dominio: un registro reciente en días y uno más antiguo en meses o años, redondeados; cuando la antigüedad real no se acerca al valor mostrado, el recuadro dice que es casi o más de ese valor. Cuando el dominio es muy reciente, el recuadro lo dice y añade que los sitios fraudulentos suelen estar registrados hace poco, pero que un dominio reciente no demuestra que lo sea. Para una dirección en un subdominio que ofrece una plataforma de alojamiento, el recuadro muestra la antigüedad de la plataforma, porque esos subdominios no se registran por separado. Mientras se hace la consulta, el recuadro lo indica.

La antigüedad del dominio nunca cambia la puntuación ni la valoración: es solo información adicional.

Cuando no hay ninguna antigüedad que mostrar, el recuadro indica por qué. «No disponible para este dominio.» significa que la aplicación no ha podido consultar a un registro sobre este dominio, por ejemplo porque su terminación no tiene servicio de consulta de registro. «No aplicable a esta dirección.» significa que la dirección no tiene un nombre de dominio registrado sobre el que preguntar, por ejemplo cuando está escrita como una dirección IP. En esos dos casos no se envía nada. «No se pudo obtener.» significa que la aplicación no ha podido obtener información de registro utilizable: por ejemplo, falló la conexión, el registro no respondió a tiempo o su respuesta no tenía una fecha de registro legible. Una consulta fallida no se recuerda, así que el siguiente escaneo de esa dirección vuelve a intentarlo.

La aplicación siempre comprueba si el nombre del sitio en una dirección, como www.example.com, contiene el nombre de una marca conocida sin ser una de las direcciones propias de esa marca. La lista de marcas es corta y está centrada en España: contiene nombres como Correos, DGT y BBVA, además de PayPal y DHL.

La comprobación de nombres que imitan marcas va un paso más allá. Antes de buscar el nombre de una marca, trata como iguales los caracteres que se parecen: algunas letras griegas y cirílicas que se parecen a letras latinas y algunas cifras que se parecen a letras, como el 1 y la l, y no tiene en cuenta los guiones. Así puede marcar una dirección que escribe PayPal con la cifra 1 en lugar de la letra l, o con una letra cirílica que se parece a la a latina, algo que la comprobación anterior no ve. El resultado dice entonces que la dirección se parece a la marca: es un parecido, no una coincidencia.

Como un parecido es una prueba más débil que el propio nombre de la marca, un hallazgo de este tipo suma menos puntos que la comprobación de marcas, pero aun así puede cambiar la puntuación y la valoración.

Es experimental y está desactivada por defecto. Su tabla de caracteres parecidos se escribió a mano y es limitada, y la comprobación puede marcar una dirección que no es una imitación. Para usarla, activa «Nombres que imitan marcas (experimental)» en Opciones; se aplica a partir del siguiente escaneo.

Solo busca las marcas de su lista, no busca erratas en general y su tabla de caracteres parecidos solo abarca algunos caracteres. Que no haya un hallazgo de este tipo no significa que la dirección sea auténtica.

Informa de un problema o haz una sugerencia en el gestor de incidencias en GitHub. En la aplicación, Opciones tiene el mismo enlace, en «Sitio web y opiniones»: «Informar de un problema o hacer una sugerencia».

Lo que publiques allí es público y se aplica la política de privacidad de GitHub, así que no publiques datos personales. Las preguntas sobre privacidad pueden ir por correo electrónico: la política de privacidad indica la dirección.