«Navegación segura» en Chrome: qué es esa opción y cómo activarla o desactivarla
Si llegaste buscando la opción del navegador, empecemos por ahí.
Navegación segura es una función de Chrome que compara los sitios, las descargas y las extensiones con listas de amenazas conocidas —páginas de phishing, malware, sitios engañosos— y te advierte antes de que entres. Se activa desde los ajustes de seguridad del navegador; como los nombres y el orden de esas pantallas cambian de una versión a otra, la vía más rápida es escribir «navegación segura» en el buscador de la configuración de Chrome y abrir el resultado.
Tiene tres niveles:
Protección mejorada. El nivel más estricto: analiza en tiempo real las direcciones que visitas y los archivos que descargas contra los servidores de Google, y avisa de amenazas que aún no están en las listas. A cambio envía más datos de navegación.
Protección estándar. El nivel por defecto y un esquema mixto: Chrome descarga y guarda en tu equipo una copia actualizada de la lista de sitios peligrosos y, cuando una dirección no aparece en esa copia local, envía una porción ofuscada de la URL a Google a través de un servidor de privacidad que oculta tu dirección IP. Así hay también comprobación en tiempo real, pero se comparten menos datos de navegación que en la protección mejorada.
Sin protección. Desactivada. Chrome deja de advertirte.
Cómo cambiarla o desactivarla: en la configuración de Chrome, privacidad y seguridad, seguridad, selecciona el nivel. Se aplica de inmediato.
Una advertencia antes de desactivarla: mucha gente llega aquí porque Chrome bloqueó una descarga legítima. Para ese caso existe la opción de conservar el archivo desde el propio aviso, sin apagar la protección para todo lo demás. Dejarla apagada «por si acaso» cambia una molestia ocasional por una exposición permanente.
Pero esa opción cubre solo sitios y archivos maliciosos conocidos. No protege tus cuentas si tu contraseña se filtró, no impide que una extensión con permisos amplios lea lo que escribes y no hace nada en una red wifi abierta. Para eso está el resto del artículo: un checklist de cinco capas que se completa en una tarde.
De qué nos estamos protegiendo
Cinco escenarios reales y comunes:
Robo de sesión. Alguien obtiene tus cookies y entra a tu cuenta sin tu contraseña ni tu segundo factor.
Filtración de contraseña desde un tercero. Un servicio sufre una brecha y quien tiene la lista prueba esa combinación en veinte servicios más. Si repetiste contraseña, funciona.
Extensión maliciosa o vendida. Instalaste algo útil hace dos años; cambió de dueño y ahora hace otra cosa con tus permisos.
Interceptación en red abierta. El wifi del café, del aeropuerto o del hotel.
Phishing. Un correo o mensaje que imita a un servicio que usas y lleva a una página que copia la original.
Ninguno requiere que seas un objetivo especial. Son ataques de volumen.
Capa «cuenta»
Es la que más protege por unidad de esfuerzo. Si solo haces una parte del checklist, haz esta: contraseñas seguras y un segundo factor bien puesto evitan la mayoría de los incidentes.
Contraseñas seguras y únicas por servicio, no variaciones de la misma. Largas antes que complicadas: una frase de varias palabras aguanta mejor que ocho caracteres con símbolos.
Un gestor de contraseñas. Es la única forma práctica de sostener lo anterior; elige uno con buena reputación y auditorías públicas.
Autenticación de dos factores en todo lo importante: aplicación de autenticación o llave física mejor que SMS, porque los códigos por mensaje son vulnerables al secuestro del número, un fraude que funciona en la región.
Guarda los códigos de respaldo que da el servicio al activar el segundo factor, impresos o en tu gestor: el día que pierdas el teléfono son la diferencia entre un mal rato y perder la cuenta.
Revisa las sesiones activas: casi todos los servicios muestran desde qué dispositivos hay sesión iniciada; cierra lo que no reconozcas.
Revoca aplicaciones de terceros: los servicios a los que un día diste acceso a tu correo o a tus redes. Casi siempre hay cosas que ya no usas.
Por dónde empezar, en orden de daño. Primero el correo principal, la llave de recuperación de todo lo demás. Después las que mueven dinero o identidad: banca en línea, Mercado Libre y Mercado Pago, OXXO Pay, Nequi y PSE, Yape o Plin, Webpay. Y los portales fiscales —SAT, DIAN, SII, SUNAT—: ahí vive tu identidad tributaria y casi nadie los trata como críticos. Al final, redes sociales y suscripciones.
Cómo comprobar: entra a una de tus cuentas desde otro navegador; si te pide el segundo factor, está bien configurado.
Hasta dónde llega: protege del robo de credenciales, no del robo de una sesión ya iniciada.
Capa «navegador»
Todo lo de esta sección vive en la configuración de seguridad del navegador: vale la pena abrirla una vez con calma y dejarla ajustada.
Mantenlo actualizado. Las actualizaciones son en su mayoría parches de seguridad, y un navegador que lleva meses sin reiniciarse no está actualizado aunque diga que sí.
Activa HTTPS obligatorio: el navegador usa siempre conexión cifrada y avisa cuando un sitio no la ofrece. El candado solo indica que la conexión va cifrada con un certificado SSL válido para ese dominio: nadie en el camino puede leer lo que envías, pero el sitio no es por eso honesto — una página de phishing bien montada también tiene su certificado SSL. Si el navegador avisa de un certificado vencido o de otro dominio, la respuesta es salir.
Piensa dos veces antes de guardar contraseñas en el navegador. Es mejor que reutilizarlas, pero quien acceda a tu perfil accede a todo; un gestor con contraseña maestra separada es más seguro.
Desactiva el autocompletado de datos de pago si compartes el equipo o lo llevas contigo.
Audita los permisos de sitios: cámara, micrófono, ubicación, notificaciones; quita lo que no reconozcas. Decide también qué haces con las cookies: borrarlas al cerrar cierra sesiones, conservarlas deja rastro. Un punto medio es conservarlas donde inicias sesión y borrarlas en el resto.
Cómo comprobar: entra a un sitio que sepas que es HTTP simple. El navegador debería advertirte.
Capa «extensiones»
La más ignorada y la que más acceso otorga.
Haz un inventario. Abre la lista de extensiones y quita lo que no uses activamente: si no recuerdas para qué la instalaste, fuera.
Revisa los permisos de las que quedan. «Leer y cambiar todos tus datos en todos los sitios web» significa eso: ve tus paneles bancarios, correos y formularios. Concédeselo solo a lo que lo necesite.
Fíjate en el origen. Instalada desde la tienda oficial, con desarrollador identificable y actualizaciones recientes.
Ojo con las dormidas: las que llevan años sin actualizarse son candidatas a ser vendidas o abandonadas con vulnerabilidades sin parchear.
Las extensiones cambian de dueño: una herramienta popular se vende y la siguiente actualización trae código que inyecta anuncios o recolecta datos. Revisa tu lista cada tanto.
Cómo comprobar: deberías poder explicar en una frase para qué sirve cada extensión que quedó.
Capa «red»
Wifi abierto. El riesgo no es tan grande como hace diez años, porque casi todo el tráfico va cifrado por HTTPS. Quedan dos: redes falsas para capturar tráfico y redirecciones a páginas de inicio de sesión falsas. Regla práctica: en una red abierta, no inicies sesión en nada crítico.
DNS cifrado. Tu navegador puede resolver los nombres de dominio por una conexión cifrada, para que la red no vea qué sitios consultas. Está en la configuración de seguridad de los navegadores modernos.
Dónde ayuda una VPN y dónde no. Ayuda a que la red local y el proveedor de Internet no vean qué sitios visitas, y a conectarte desde otra geografía. No te hace anónimo ante el sitio, no protege de phishing ni arregla una cuenta comprometida. La comparación completa está en la guía sobre proxies profesionales, proxy web o VPN para navegar de forma anónima.
Cómo comprobar: con el DNS cifrado activo, un comprobador de fugas debería mostrar el servidor cifrado y no el de tu proveedor.
Capa «dispositivo»
Bloqueo de pantalla con contraseña o biometría, también en la computadora.
Cifrado de disco activado. En macOS viene de serie con FileVault; en Windows depende de la edición: BitLocker completo es cosa de Pro y superiores, mientras que en Home solo existe el cifrado de dispositivo, sujeto a que el equipo cumpla los requisitos de hardware (en Windows 11 24H2 esos requisitos se relajaron). Revisa qué tienes activo: sin cifrado, quien tenga el equipo tiene los archivos.
Un perfil de sistema separado para el trabajo, si compartes la computadora con alguien más.
Actualizaciones del sistema operativo al día.
Copias de seguridad. No solo contra fallas de hardware: convierten un secuestro de archivos en un mal día y no en una catástrofe. El malware que cifra archivos y pide rescate no distingue entre trabajo y casa; lo que cambia el desenlace es una copia reciente y fuera del equipo.
Cómo comprobar: apaga el equipo y enciéndelo. Si arranca directo al escritorio sin pedir nada, falta trabajo.
El mismo checklist en cuatro situaciones distintas
Casi todas las guías asumen una sola computadora y una sola persona. Aquí está el checklist por situación: qué es obligatorio, qué no aporta nada y qué no se hace.
Computadora personal. El único escenario donde tiene sentido el checklist completo, porque es el único equipo que controlas entero. Obligatorio: todo lo anterior, de la capa «cuenta» a la capa «dispositivo»; aquí sí puedes guardar sesiones iniciadas y sincronizar el navegador. No aporta gran cosa: acumular herramientas de seguridad de terceros con permisos amplios. No se hace: usar la cuenta de administrador para el día a día ni compartir el perfil de sistema con alguien más de la casa.
Computadora del trabajo. La regla que ahorra la mayoría de los problemas: en el equipo de la empresa van las cuentas de la empresa y nada más. Obligatorio: bloquear la pantalla cada vez que te levantas; asumir que el equipo está administrado y que sistemas puede ver lo que corre en él; y usar solo los canales aprobados para credenciales de trabajo. No aporta nada: instalar tu arsenal de extensiones «de seguridad» donde ya hay políticas corporativas con las que suelen chocar. No se hace: iniciar sesión en tu banca, tu correo o tus redes personales desde ese equipo; instalar software saltándote la política; ni dejar cuentas personales sincronizadas en el navegador corporativo, porque el día que devuelvas el equipo esos datos siguen ahí.
Computadora ajena o compartida: la de un familiar, un café internet, un hotel, un cliente. Aquí el checklist se reduce y se vuelve más estricto. Obligatorio: ventana privada, cerrar sesión de forma explícita al terminar y no dejar que el navegador guarde nada. No aporta nada: revisar la configuración de seguridad del navegador de una máquina que no es tuya; no sabes qué tiene instalado. No se hace, sin matices: guardar sesiones o marcar «recordarme», iniciar sesión en cuentas de trabajo o paneles de clientes, entrar a banca en línea o portales fiscales, instalar extensiones y conectar tu gestor de contraseñas. Si no hay más remedio que entrar a una cuenta importante, asume que ahí puede haber malware capaz de registrar lo que escribes y cambia esa contraseña desde un equipo de confianza. Al terminar, revisa desde tu dispositivo la lista de sesiones activas.
Celular. Es el equipo que más te acompaña y el que más fácil se pierde. Obligatorio: bloqueo de pantalla con código decente o biometría, cifrado activo —los sistemas actuales lo traen por defecto—, sistema y aplicaciones actualizados, y la función de localizar y borrar el dispositivo a distancia. Los permisos de las aplicaciones ocupan aquí el lugar de las extensiones: quita ubicación, micrófono y cámara a todo lo que no los necesite. No se hace: guardar los códigos de respaldo del segundo factor en el mismo teléfono que los genera, ni prestarlo desbloqueado. Y el segundo factor por SMS es más débil justamente aquí, porque el secuestro de tu línea ataca ese punto; una aplicación de autenticación no depende de la línea.
Un apunte: las herramientas de escritorio que aparecen más abajo cubren la computadora, no el teléfono; en el celular la separación de cuentas se resuelve con las opciones del sistema y de cada aplicación.
Sobre el rastreo publicitario
El seguimiento con cookies de terceros, los scripts de analítica y la identificación por huella del dispositivo son un tema distinto de la seguridad: no buscan robarte nada, sino perfilar tu comportamiento. Está resuelto en la guía sobre el navegador anti-rastreo, con el detalle de qué bloquear sin romper los sitios que usas a diario.
Dónde termina este checklist
Dos límites:
El modo privado no te hace anónimo: borra el rastro que queda en tu computadora al cerrar la ventana. El sitio te sigue viendo, tu proveedor también, y tu huella de dispositivo no cambia.
Con muchas cuentas, la configuración de un navegador no alcanza. Todo lo de arriba asume una persona con sus cuentas personales; cuando administras decenas de cuentas de trabajo —tiendas, paneles publicitarios, perfiles de clientes—, todas esas sesiones conviven en el mismo navegador, con la misma huella y la misma IP, y basta un descuido para mezclarlas. El enfoque es aislar cada cuenta en su propio entorno. Herramientas de escritorio como 🔥 Dolphin Anty —Windows, macOS y Linux— hacen eso: cada cuenta en un perfil con su huella, sus cookies y su proxy, con acceso por permisos en lugar de contraseñas compartidas. Es organización de sesiones, no una capa de seguridad: no protege de un robo de contraseña ni sustituye nada del checklist.
Checklist final
Cuenta
- Contraseñas únicas en todos los servicios
- Gestor de contraseñas en uso
- 2FA con aplicación o llave física en correo, banca y redes
- Códigos de respaldo guardados
- Sesiones activas revisadas
- Aplicaciones de terceros revocadas
Navegador
- Navegador actualizado y reiniciado
- Navegación segura de Chrome en estándar o mejorada
- HTTPS obligatorio activado
- Datos de pago fuera del autocompletado
- Permisos de sitios auditados
Extensiones
- Extensiones sin uso eliminadas
- Permisos amplios revisados
- Todas de la tienda oficial y actualizadas
Red
- Sin inicios de sesión críticos en wifi abierto
- DNS cifrado activado
- Claro qué hace y qué no una VPN
Dispositivo
- Bloqueo de pantalla activo
- Cifrado de disco activado
- Sistema operativo actualizado
- Copias de seguridad funcionando
Preguntas frecuentes
¿Qué es la Navegación segura?
La función de Chrome que compara sitios, descargas y extensiones con listas de amenazas conocidas y te advierte. Cubre phishing y software malicioso conocido, nada más.
¿Cómo la activo?
En la configuración de Chrome, privacidad y seguridad, seguridad, eligiendo protección estándar o mejorada.
¿Cómo la desactivo?
En esa misma pantalla, con la opción sin protección. Antes: si el motivo es una descarga concreta, puedes conservar ese archivo desde el propio aviso sin apagar la protección.
¿Protección estándar o mejorada?
La mejorada detecta amenazas nuevas a cambio de enviar más datos de navegación a Google; la estándar combina una lista descargada a tu equipo con una comprobación en tiempo real a través de un servidor de privacidad que oculta tu IP, y comparte menos datos. Es un intercambio entre detección y datos compartidos; ambas son razonables.
¿La Navegación segura protege mis cuentas?
No. Es protección contra sitios y archivos maliciosos. Que no te roben una cuenta depende de contraseñas únicas, segundo factor y sesiones revisadas — la capa «cuenta» de arriba.
¿Necesito un antivirus además del navegador?
Los sistemas operativos modernos incluyen protección integrada que cubre bien el caso doméstico. Un producto de terceros tiene sentido en escenarios concretos y añade consumo de recursos y permisos propios. Aquí no recomendamos productos por nombre.
¿Y en el celular?
Las mismas capas aplican: contraseñas únicas, segundo factor, permisos de aplicaciones revisados, bloqueo de pantalla, sistema actualizado. La diferencia es que en el teléfono los permisos de las aplicaciones importan más que las extensiones.
Empieza por el segundo factor en tu correo principal: es lo que más protege y toma cinco minutos, porque si alguien entra ahí entra a todo lo demás por la recuperación de contraseña.
