Para evitar una descarga falsa, confirma el dominio del desarrollador, identifica el archivo exacto y comprueba su firma digital o su hash cuando el fabricante publique una referencia fiable. Un anuncio, el candado HTTPS y el nombre del programa en la dirección no prueban que una descarga sea oficial. Si Windows bloquea el archivo o el origen no está claro, no lo ejecutes para averiguar qué ocurre.
Lee una dirección sin dejarte distraer por la marca
El nombre del programa puede aparecer en un subdominio o en la ruta sin que la página pertenezca al desarrollador. Estos ejemplos usan dominios reservados para documentación; no son sitios de descarga reales y no necesitas visitarlos.
| Dirección | Qué indica | Decisión |
|---|---|---|
https://fabricante.example/descargas |
Dominio de ejemplo que habría que contrastar con una referencia fiable | El nombre por sí solo no acredita al editor |
https://fabricante.example.descargas.invalid/programa |
La marca aparece como subdominio de descargas.invalid | No confundir el texto inicial con el dominio del fabricante |
https://descargas.invalid/fabricante.example |
La marca está en la ruta; el servidor sigue siendo descargas.invalid | No usar la ruta como prueba de propiedad |
HTTPS cifra la conexión con el servidor al que entraste; no verifica que ese servidor sea el fabricante que buscabas. Mira la dirección completa antes de descargar y después de cualquier redirección. Un proveedor puede usar una CDN o GitHub legítimamente, pero esa relación debe partir de un enlace en su web o documentación oficial, no de una explicación en la página sospechosa.
Un único recorrido: del origen oficial al archivo comprobado
- Localiza al desarrollador. Usa documentación conocida, el repositorio enlazado desde su web o una ficha verificada de una tienda. Ni el diseño ni un anuncio de búsqueda acreditan al propietario. Comprueba la dirección completa y cualquier redirección con los ejemplos de URL de esta guía.
- Elige el paquete concreto. En la sección oficial de descargas, anota sistema, arquitectura, versión y nombre del archivo. Distingue el botón del producto de los anuncios; no concedas notificaciones ni instales extensiones para descargar.
- Guárdalo sin abrirlo. Activa las extensiones en el Explorador y revisa el nombre completo:
manual.pdf.exees un ejecutable aunque su icono parezca un documento. Contrasta formato y tamaño con la información del proveedor. Si el navegador o Windows lo bloquean, detente; no desactives la protección. - Consulta la firma cuando corresponda. Para un ejecutable, el siguiente comando lee la firma sin ejecutarlo. Contrasta el certificado con el editor esperado e interpreta el estado en el apartado de firma; no eleves permisos mientras no sepas qué archivo tienes.
Get-AuthenticodeSignature -LiteralPath '.\instalador.exe' |
Select-Object Status, StatusMessage, SignerCertificateSi el proveedor publica SHA-256, calcula el del paquete guardado:
Get-FileHash -LiteralPath '.\instalador.exe' -Algorithm SHA256Compara todos los caracteres con la referencia de esa misma versión, arquitectura y paquete. Si no coincide, no lo ejecutes: descarta que hayas comparado un instalador en línea con uno completo, vuelve a descargar por la ruta oficial y consulta al editor si persiste. Si no hay hash publicado, registra esa limitación; uno ofrecido por la propia página dudosa no es una comprobación independiente.
Un hash identifica contenido y una firma aporta información del firmante; ninguno acredita por sí solo una web ni garantiza que el programa sea inocuo. El ensayo local que aparece más abajo permite ver por qué el tamaño tampoco resuelve esa comprobación.
Si aparece una petición de permisos de administrador (UAC), recuerda que eso indica una solicitud de elevación, no que Windows haya confirmado que el instalador es seguro. Antes de aprobarla, contrasta el origen y el editor. Puedes ver cómo distinguir una cuenta estándar, una de administrador y las solicitudes de UAC en nuestra guía específica.
Cómo interpretar el resultado de la firma
El campo Status de Authenticode y el certificado responden preguntas distintas. Valid indica que la comprobación de firma ha sido válida en ese entorno; revisa también que el firmante sea el editor esperado. NotSigned significa que no hay una firma reconocida por esa comprobación y puede aparecer en software legítimo. HashMismatch exige detenerte porque el contenido no corresponde a la firma. Otros errores pueden requerir revisar certificados o conectividad, pero no justifican ejecutar el archivo a ciegas.
Comprobación en Windows 11 sin ejecutar el instalador
- En el Explorador de archivos elige Ver → Mostrar → Extensiones de nombre de archivo. Así podrás identificar un archivo llamado, por ejemplo,
factura.pdf.exe, cuyo tipo real es ejecutable. Microsoft describe este ajuste en su guía de extensiones de archivo. - Haz clic derecho en el archivo descargado, abre Propiedades y, si aparece, revisa Firmas digitales. Comprueba el nombre del firmante y el estado de la firma; algunos archivos legítimos no están firmados, y una firma válida no sustituye comprobar el origen.
- Si el desarrollador publica una suma SHA-256 en su página oficial, compárala con el resultado de
Get-FileHash, usando la versión y arquitectura exactas. Un valor publicado únicamente por una página sospechosa no es una referencia independiente. - Si el navegador, Microsoft Defender o SmartScreen muestran una advertencia, no desactives ni evadas las protecciones para forzar la instalación. Revisa el origen y busca una descarga legítima o asistencia del proveedor.
Los ZIP, scripts y ejecutables pueden tener mecanismos de firma y comprobación diferentes. La ausencia de una pestaña «Firmas digitales» no permite deducir que un archivo esté firmado ni que necesariamente sea malicioso; para cada formato aplica la verificación documentada por su desarrollador.
Prueba propia: el mismo tamaño no implica el mismo contenido
El 10 de octubre de 2026 creamos dos archivos de texto de demostración en el PC de la revisión. Solo cambiamos el punto final por un signo de exclamación. Ambos ocuparon 62 bytes, pero sus SHA-256 fueron diferentes:
| Muestra local | Tamaño | SHA-256 |
|---|---|---|
| Texto original | 62 bytes | 9DC47A68B3C53E8B3C2ACDE71F5117815515BFCA511295206D2F4045A3BCBDDF |
| Texto modificado | 62 bytes | B789FA8E271134412A92C18A104E28F7AB4F713C2FEA2B4E87F94203AD23E230 |
Esta prueba muestra que mirar los kilobytes no basta para detectar cambios. No descargamos ni ejecutamos malware, y el experimento no evalúa la seguridad de un instalador: un hash identifica contenido, no intenciones.
Desconfía de instaladores que añaden extras
Una pantalla que intenta cambiar buscador, instalar herramientas no solicitadas o pedir permisos sin relación con el programa merece cautela. Lee cada paso y cancela si el origen o la acción no encajan.
Una máquina virtual no convierte un archivo desconocido en seguro
Las sandboxes ayudan a análisis técnico, pero para un usuario normal la mejor protección es no ejecutar un archivo cuya procedencia no puedes verificar. El objetivo de esta guía es detener el problema antes de llegar a esa fase.
Si ya ejecutaste algo sospechoso
Deja de introducir contraseñas en ese equipo. Ante indicios de actividad maliciosa, desconéctalo de la red y consulta las opciones de análisis de Seguridad de Windows; revisa programas instalados y sesiones de cuentas. Cambia credenciales expuestas desde un dispositivo confiable y activa 2FA cuando corresponda.
Para consultar al proveedor, registra versión, nombre del paquete, dominio de origen y resultado de la comprobación. No subas archivos privados a analizadores públicos: algunos servicios comparten las muestras. Una sospecha después de ejecutar requiere investigar el incidente, no limitarse a volver a calcular el hash.
Fuente técnica adicional: qué devuelve Get-AuthenticodeSignature según Microsoft.
Documentación consultada
Lecturas relacionadas en MyBlogSoft
Sobre el autor
Sergio Andres Alvarado Mendoza
Sergio Andres Alvarado Mendoza es el responsable y editor de MyBlogSoft, un sitio web de tecnología administrado desde Colombia. El sitio ofrece guías sobre software, hardware, redes y seguridad basadas en documentación técnica. Las pruebas propias, cuando existan, se identificarán con su equipo y método. Las ilustraciones de los artículos se generan con IA y no acreditan pruebas de productos.
Comentarios