Cuando alguien escanea tu código QR, la URL codificada en ese código rara vez es el destino final. Una cadena de redirección —una o más URLs intermedias que pasan al usuario antes de llegar al destino— es común en campañas QR, especialmente con códigos dinámicos y acortadores de enlaces de terceros. La mayoría de las veces eso es inofensivo. Pero una cadena de redirección comprometida o mal configurada es una de las formas más limpias en que un atacante puede secuestrar el tráfico de tu código QR sin tocar nunca tus materiales impresos.
Este artículo explica cómo se forman las cadenas de redirección, qué las hace peligrosas, cómo auditar las tuyas y qué salvaguardas realmente funcionan.
Cómo se forma una cadena de redirección en código QR
Una cadena típica se ve así:
Código QR → acortador de enlaces (ej. bit.ly/xxx) → tu URL de seguimiento de campaña → página de destino final
Cada salto es una redirección HTTP, generalmente un 301 (permanente) o 302 (temporal). Las cadenas crecen cuando:
- Usas una plataforma QR dinámica que envuelve tu URL en su propio enlace corto
- Añades parámetros UTM a través de una capa de redirección separada
- Migras tu sitio de HTTP a HTTPS sin limpiar redirecciones antiguas
- Usas enlaces de afiliados o socios que pasan a través de su propio dominio de seguimiento
Tres o cuatro saltos no es inusual. Cinco o más es donde los navegadores comienzan a descartar contexto de seguridad y donde el panorama de riesgos cambia significativamente.
Por qué las cadenas de redirección crean exposición de seguridad
Los redireccionadores abiertos son el problema central
Un redireccionador abierto es una URL que envía visitantes a cualquier destino, no solo a sitios de confianza. Se ven así:
https://sitio-confiable.com/ir?url=https://atacante.com/falso-inicio-sesion
Si algún salto en tu cadena de redirección pasa a través de un redireccionador abierto —incluso uno enterrado en un script de seguimiento de terceros— un atacante puede crear una versión de tu código QR que redirija a una página maliciosa mientras aparenta comenzar desde tu dominio. Los usuarios que inspeccionen la URL codificada antes de escanear verán el nombre de tu marca y bajarán la guardia.
Secuestro DNS en medio de la cadena
Si tu cadena de redirección pasa a través de un dominio que ya no controlas —un subdominio expirado, un SaaS antiguo que dejaste de pagar, un socio cuyo contrato terminó— ese dominio puede ser re-registrado por cualquiera. El nuevo propietario puede apuntarlo a lo que quiera. Esto se llama una "redirección colgante" y es más común de lo que la mayoría de los especialistas en marketing se dan cuenta.
Riesgos de degradación HTTPS
Una cadena que comienza con HTTPS pero incluye un salto HTTP en el medio rompe la conexión TLS. Las cookies de sesión, datos de referrer y cualquier token pasado en la URL se transmiten en texto plano para ese segmento. En campañas QR de alto tráfico en retail o sanidad esto es un riesgo real de exposición de datos.
Señales de confianza mixtas en navegadores
Los escáneres QR modernos en iOS y Android muestran la primera URL a la que se resuelve el código, no el destino final. Si tu cadena pasa a través de un dominio que un proveedor de seguridad ha marcado —incluso brevemente, incluso incorrectamente— el escáner puede mostrar una advertencia. Esa advertencia mata la conversión y daña la confianza en tu marca incluso cuando eres la víctima, no el atacante.
Cómo auditar tus cadenas de redirección
No necesitas software especial para comenzar. Estos pasos cubren la mayoría de casos:
1. Decodifica el contenido QR crudo Usa cualquier escáner QR que muestre la URL cruda en lugar de abrirla automáticamente. Muchas aplicaciones de cámara para smartphone ocultan este paso —usa una aplicación escáner dedicada que muestre la cadena completa codificada.
2. Rastrear cada salto manualmente Pega la URL en un verificador de cadena de redirección (herramientas como redirect-checker.org e httpstatus.io son gratuitas). Documenta cada dominio que aparezca.
3. Verifica que posees o confías en cada dominio de la cadena Marca cualquier dominio que no reconozcas o que no hayas verificado recientemente. Comprueba las fechas de registro WHOIS para cualquier subdominio de acortador o dominio de campaña antiguo.
4. Cuenta tus saltos Si tienes más de tres saltos, investiga si cada uno es necesario. Contraer una cadena de cinco saltos a dos es sencillo si controlas tu plataforma QR dinámica.
5. Confirma que cada salto usa HTTPS Cualquier redirección HTTP en la cadena debe corregirse antes de que el código vaya a imprimir. Si depende de un salto de terceros que no puedes actualizar, busca una alternativa.
6. Prueba después de cada actualización de campaña Cuando actualices la URL de destino en tu plataforma QR dinámica —que es el punto completo de usar códigos dinámicos— vuelve a ejecutar la auditoría. Un cambio de destino puede introducir silenciosamente una nueva capa de redirección.
Entender la diferencia entre códigos QR estáticos y dinámicos importa aquí: los códigos estáticos no tienen redirección del lado del servidor, por lo que la cadena comienza en cualquier URL que hayas codificado. Los códigos dinámicos introducen al menos un salto controlado por la plataforma, lo que significa que la postura de seguridad de la plataforma se convierte en parte de tu superficie de ataque.
Salvaguardas que realmente reducen el riesgo
| Salvaguarda | Lo que aborda |
|---|---|
| Usa una plataforma QR con lista blanca de URL de redirección | Bloquea redireccionadores abiertos a nivel de plataforma |
| Monitorea la expiración de dominio para cada salto de la cadena | Previene redirecciones colgantes |
| Obliga HTTPS en cada paso | Elimina ataques de degradación |
Establece cabecera Referrer-Policy: no-referrer en páginas intermedias |
Reduce fuga de tokens entre saltos |
| Suscribirse a alertas de navegación segura para tus dominios | Advertencia temprana si un dominio es marcado |
Si quieres una revisión exhaustiva antes del lanzamiento de dónde apuntan tus códigos, la lista de verificación de destino seguro para códigos QR cubre el lado del destino en detalle.
La solución más sostenible es reducir la longitud de la cadena. Trabaja con quien gestiona tus campañas de código QR para configurar URLs de destino directo donde sea posible, y reserva capas de redirección solo para seguimiento que no puedas obtener de otra forma. Las plataformas que ofrecen analítica de escaneo integrada pueden reemplazar algunas de las capas de seguimiento basadas en redirección por completo.
Puntos clave
- Una cadena de redirección con incluso un salto comprometido o con un redireccionador abierto puede enviar a tus clientes a páginas maliciosas mientras aparenta ser legítima.
- Las redirecciones colgantes en dominios expirados o vencidos son un riesgo real y subestimado en campañas QR.
- Audita cada salto manualmente: decodifica la URL cruda, rastrear todas las redirecciones, verifica la propiedad del dominio y confirma HTTPS de extremo a extremo.
- Mantén cadenas cortas. Si tu plataforma QR proporciona analítica integrada, es posible que no necesites capas de seguimiento basadas en redirección en absoluto.
- Re-audita cada vez que actualices la URL de destino de un código dinámico —esa actualización puede introducir silenciosamente nuevas capas de redirección.