Descargar software conlleva riesgos que la mayoría de los usuarios subestima. Un sitio web oficial falso, un instalador modificado o una simple casilla premarcada bastan para poner en peligro un ordenador. Los mecanismos de verificación integrados en los sistemas operativos y los gestores de paquetes reducen estos riesgos, pero su eficacia varía según el canal de descarga elegido.
Firma digital y gestor de paquetes: comparación de los canales de descarga
No todos los canales de descarga ofrecen las mismas garantías. Algunos comprueban automáticamente la integridad del archivo; otros dejan al usuario solo ante un instalador cuyo origen no puede confirmar.
| Canal | Verificación automática de la huella | Firma del editor verificada | Riesgo de software modificado |
|---|---|---|---|
| winget (Windows Package Manager) | Sí | Sí | Bajo |
| Microsoft Store | Sí (SmartScreen integrado) | Sí | Bajo |
| Ninite | Sí | Sí | Bajo |
| Sitio web oficial del editor | No (manual mediante hash) | Variable según el editor | Moderado |
| Sitio de terceros / espejo no oficial | No | No | Alto |
Un análisis de 14 programas gratuitos muestra que 11 de 14 están disponibles en winget y que 9 de los 11 incluidos en winget tienen una firma reconocida por Windows. Seis también están disponibles en Microsoft Store. Estas cifras confirman que los gestores de paquetes ya cubren la mayoría de las herramientas habituales.
Cuando buscas instalar un programa de forma segura, elegir el canal es tan importante como elegir el propio programa.
Sitios oficiales falsos e instaladores trampa: diferencias de riesgo entre las fuentes
A finales de octubre de 2022, un anuncio de Google para GIMP mostraba la dirección gimp.org. Al hacer clic, redirigía a gilimp.org, un clon que alojaba un instalador de 700 Mo que ocultaba Vidar, un ladrón de contraseñas. La diferencia entre el sitio mostrado y el sitio real era una sola letra.
Este tipo de ataque se aprovecha de la confianza que inspira la apariencia. El nombre de dominio se parece al original, el diseño del sitio está copiado y el archivo ofrecido tiene el nombre esperado. Comprobar el nombre de dominio letra por letra es la primera medida antes de descargar nada desde un motor de búsqueda.
Verificar la huella del archivo antes de ejecutarlo
La mayoría de los editores de software libre publican la huella (hash SHA-256 o MD5) de sus archivos de descarga. De los 8 programas libres del análisis mencionado anteriormente, 7 publican su huella en su página oficial. Ningún editor comercial hace lo mismo en sus páginas públicas.
Comprobar esta huella lleva menos de un minuto en Windows con el comando certutil -hashfile en el símbolo del sistema. Si el hash no coincide, el archivo se ha modificado entre el servidor del editor y tu equipo.
- Obtén el hash publicado en el sitio oficial del editor (no en un foro ni en un sitio de terceros)
- Abre el símbolo del sistema y escribe: certutil -hashfile ruta_del_archivo SHA256
- Compara las dos cadenas de caracteres: deben ser exactamente iguales
- Si tienes dudas, envía la huella a VirusTotal antes de subir el archivo, para evitar compartir un documento potencialmente sensible
Alertas de SmartScreen y aplicaciones sin firmar en Windows
Cuando Windows muestra el mensaje “Windows protegió tu PC”, SmartScreen indica que la aplicación no es reconocida o que no tiene firma. Este filtro bloquea de forma predeterminada los ejecutables sin una reputación establecida.
Desactivar SmartScreen para forzar la instalación es un error frecuente. Una alerta de SmartScreen no significa que el archivo sea peligroso, sino que no se ha verificado. La diferencia es importante: un programa legítimo pero poco descargado activará la misma alerta que un malware reciente.
Qué hacer ante una alerta
Antes de hacer clic en “Ejecutar de todas formas”, conviene realizar dos comprobaciones:
- Confirma que el archivo procede realmente del sitio oficial del editor (comprueba la URL en el historial de descargas del navegador)
- Haz clic con el botón derecho en el archivo, abre las propiedades y ve a la pestaña “Firmas digitales”: el nombre del editor debe coincidir con el del desarrollador esperado
- Si no aparece ninguna firma y el programa no es de código abierto, cancela la instalación y busca una alternativa en winget o Microsoft Store
Cyber Resilience Act: qué cambia el reglamento europeo para las actualizaciones de software
La seguridad de un programa no se decide únicamente en el momento de la descarga. Un programa sin mantenimiento acumula vulnerabilidades que los atacantes aprovechan meses después de su instalación.
El reglamento europeo de ciberresiliencia (Cyber Resilience Act, Reglamento UE 2024/2847) impone obligaciones de seguimiento a los editores de productos digitales. Las obligaciones de notificación de vulnerabilidades se aplican a partir del 11 de septiembre de 2026. La aplicación principal del reglamento, que abarca los requisitos de seguridad durante el ciclo de vida de los productos, entra en vigor el 11 de diciembre de 2027.
El software de código abierto no está exento automáticamente. El reglamento también abarca determinados programas distribuidos de forma independiente, con obligaciones que varían según el papel del actor y el modo de distribución. Un programa gratuito mantenido por una fundación comercial puede quedar dentro de su ámbito de aplicación.
Este marco normativo ofrece un criterio concreto para elegir: da prioridad a los editores que publican un calendario de actualizaciones y un proceso para notificar vulnerabilidades. Un programa cuya última actualización se publicó hace más de un año y que no menciona ninguna política de seguridad presenta un riesgo cada vez mayor con el paso del tiempo.
El canal de descarga, la verificación de la huella y el seguimiento de las actualizaciones son tres filtros complementarios. Ninguno basta por sí solo. El dato más revelador sigue siendo el del análisis: de los 14 programas probados, 11 se instalan mediante winget con verificación automática. Para la mayoría de las instalaciones habituales, es la vía más directa para conseguir un equipo fiable.
