Cómo comprueba el cliente si su tienda WooCommerce es real, y cómo superar esa prueba

Un comprador prudente, un proveedor de pagos y Google Merchant Center revisan una tienda nueva con los mismos métodos: cotejan los datos de la empresa con los registros oficiales, miran la antigüedad del dominio, buscan fotos copiadas y leen las reseñas. Una tienda WooCommerce honrada puede no superar esta prueba por simple descuido, por ejemplo una dirección antigua en el aviso legal o una cuenta personal en las instrucciones de transferencia. Este artículo repasa esas comprobaciones desde el lado del propietario de la tienda, con lo que conviene corregir antes de que lo detecte un cliente. Las leyes y organismos que se citan (la LSSI, el Registro Mercantil, la Agencia Tributaria, INCIBE, los servicios de consumo) son los de España, y las normas europeas (verificación del beneficiario, VIES, reseñas) valen también en el resto de la Unión. El historial del dominio, el candado, la búsqueda de imágenes, Merchant Center y los ajustes de WooCommerce funcionan igual en cualquier país.

El fraude en compras por internet no es una rareza en España. En su balance de 2025, publicado el 9 de febrero de 2026, el Instituto Nacional de Ciberseguridad (INCIBE) cuenta 122.223 incidentes gestionados, de los que 45.445 fueron fraude online, cuatro de cada diez. La Línea de Ayuda en Ciberseguridad 017 atendió 142.767 consultas, y según INCIBE “un 16% de personas han necesitado asesoramiento debido a compras fraudulentas en Internet” (INCIBE, balance 2025). Un comprador que ha oído hablar de estos fraudes revisa cada tienda que no conoce, también la tuya.

#Cómo comprueba el cliente si una tienda online es de fiar

Revisar una tienda es inteligencia de fuentes abiertas (OSINT): conclusiones sacadas solo de fuentes públicas. Registros mercantiles, el censo de operadores intracomunitarios, la base de datos WHOIS, archivos web, búsqueda de imágenes y reseñas en internet. Nada de esto exige conocimientos técnicos, y por eso los mismos pasos acaban en las guías para consumidores. INCIBE los ha convertido en una “Hoja de ruta para comprobar si una tienda online es segura o fraudulenta”, un diagrama de preguntas de sí o no que empieza por la dirección (“¿La URL coincide con el nombre de la empresa?”), sigue por el contacto, el aviso legal, los sellos de confianza y la información sobre devoluciones, y termina en los precios, las imágenes, las valoraciones y los métodos de pago (INCIBE, hoja de ruta).

Cualquier incoherencia que encuentre el comprador parece exactamente una señal de fraude. El propio INCIBE recuerda que “con un solo indicio generalmente no se puede determinar que un sitio sea malicioso”, y por eso el comprador suma indicios (INCIBE, pistas para identificar tiendas fraudulentas). Para él, dos direcciones distintas en el pie de página y en las condiciones son un indicio más, aunque una de ellas sea solo una actualización olvidada.

#Qué datos de la empresa debe mostrar una tienda online

Dos leyes españolas fijan el mínimo. El artículo 10.1 de la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI), obliga a quien vende por internet a permitir el acceso “de forma permanente, fácil, directa y gratuita” a su nombre o denominación social, su residencia o domicilio, su dirección de correo electrónico y cualquier otro dato que permita “una comunicación directa y efectiva”, a los datos de su inscripción en el Registro Mercantil, en su caso, y al “número de identificación fiscal que le corresponda” (BOE, LSSI). El apartado 2 da la obligación por cumplida si esos datos están en la web. El artículo 97.1 del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios añade, para los contratos a distancia, la identidad del empresario con su nombre comercial y “la dirección completa del establecimiento del empresario, número de teléfono y dirección de correo electrónico” antes de que el consumidor quede vinculado (BOE, texto refundido). En la práctica todo esto acaba en una página llamada “Aviso legal”, que es donde INCIBE manda buscarlo.

El cliente compara estos datos en cuatro lugares: el pie de página o el aviso legal, las condiciones, la política de privacidad y la factura. Después busca la sociedad en el Registro Mercantil. Según la guía del Colegio de Registradores, en el registro se inscriben, entre otros datos, la denominación, el objeto social, el NIF, el domicilio y el órgano de administración, y la información se puede pedir en una oficina o en registradores.org de dos formas: una nota simple, que “sirve para informar” y no está firmada por el registrador, o una certificación, firmada, que sirve “como prueba en un juicio” (Registradores, guía del Registro Mercantil).

La comprobación tiene un límite que conviene conocer si vendes como autónomo. El artículo 19.1 del Código de Comercio dice que “la inscripción en el Registro Mercantil será potestativa para los empresarios individuales” (BOE, Código de Comercio), así que un autónomo honrado normalmente no aparece en ese registro y la LSSI solo le pide los datos de inscripción “en su caso”. Para él pesan más el NIF, una dirección real y un teléfono que alguien atiende.

Si eres una sociedad, el objeto social inscrito debería abarcar el comercio que realmente ejerces. Un cliente prudente que pide la nota simple y ve que la sociedad está inscrita como estudio de arquitectura mientras vende cosméticos tendrá dudas, y el proveedor de pagos también. INCIBE describe además un caso que hace sospechar de cualquier desajuste entre la marca y el dominio: estafadores que vigilan dominios bien posicionados en los buscadores y, cuando caduca el contrato del antiguo propietario, “los compran y establecen en ellos su página web” (INCIBE, análisis de una web de venta falsa).

Qué corregir en tu tienda:

• una sola versión de la razón social, el NIF y la dirección en el aviso legal, las condiciones, la política de privacidad, los correos transaccionales de WooCommerce y las facturas,
• una dirección que coincida con la inscrita en el Registro Mercantil, actualizada en cuanto se inscriba el cambio de domicilio,
• un teléfono y un correo electrónico que funcionen; el artículo 21.2 del texto refundido exige además que la línea de atención para un contrato ya celebrado no cueste más que una llamada a un fijo geográfico o a un móvil estándar, así que un número de tarificación especial como único contacto es una mala señal y un incumplimiento.

#Cómo comprueba el cliente la cuenta de la tienda antes de transferir

En España no hay un registro público en el que cualquiera pueda pegar un IBAN y ver a qué empresa pertenece. Desde octubre de 2025 esa comprobación la hace el banco del propio cliente. El artículo 5 quater del Reglamento (UE) n.º 260/2012, introducido por el Reglamento (UE) 2024/886 sobre transferencias inmediatas, obliga al proveedor de servicios de pago del ordenante a ofrecer un servicio de verificación del beneficiario “antes de que se le ofrezca la posibilidad de autorizar dicha transferencia” (EUR-Lex, Reglamento 2024/886). Cuando el nombre escrito por el cliente y el IBAN no se corresponden, el banco le informa de que la transferencia “podría dar lugar a la transferencia de fondos a una cuenta de pago de la que no sea titular el beneficiario indicado”. Si la coincidencia es casi exacta, le enseña el nombre real del titular. Los bancos de la zona euro, los españoles incluidos, tenían que cumplirlo a más tardar el 9 de octubre de 2025 (apartado 9).

Para una tienda, eso convierte la cuenta de las instrucciones de transferencia en una prueba que se pasa o se suspende en la pantalla del banco del cliente. Si en el pie de la tienda figura “Tienda Ejemplo, S.L.” y el IBAN es la cuenta personal del socio, el cliente que escribe el nombre de la sociedad recibe el aviso de que el titular no coincide justo antes de pagar. Para las personas jurídicas, el reglamento permite además verificar la cuenta con otros datos que la identifican de forma inequívoca, como un número fiscal. INCIBE pone la transferencia como único método de pago entre los indicios de tienda fraudulenta en su hoja de ruta, de modo que una cuenta que no supera la verificación cae sobre una sospecha que ya existía.

El cliente empresarial de otro país de la UE tiene aquí un interés económico más. Consulta tu NIF-IVA en VIES, el sistema de la Comisión Europea que pregunta en tiempo real a la base de datos del Estado que lo emitió. Según las preguntas frecuentes de VIES, algunos Estados miembros solo registran en esa base los números de quienes se han dado de alta para operaciones intracomunitarias, y un número válido puede aparecer como no válido si su titular no se registró con ese fin (VIES). En España ese alta es la del Registro de Operadores Intracomunitarios (ROI), que la Agencia Tributaria exige a quien realiza entregas o adquisiciones intracomunitarias de bienes (Agencia Tributaria, ROI y VIES). El artículo 25 de la Ley 37/1992 del IVA condiciona la exención de la entrega intracomunitaria a que el comprador tenga un número de IVA de otro Estado miembro y lo haya comunicado, y a que el vendedor incluya la operación en su declaración recapitulativa (BOE, Ley del IVA). Una tienda que vende a empresas de otros países sin estar en el ROI suspende la consulta en VIES y además no puede facturar esas ventas sin IVA español. La propia Agencia Tributaria lo dice así: sin ese número comunicado, “la entrega intracomunitaria está sujeta y no exenta en el territorio de aplicación del IVA español”.

En WooCommerce, el número de cuenta para transferencias se introduce en los ajustes del método de pago por transferencia bancaria directa (en el código: bacs), y la tienda lo muestra en la página de confirmación del pedido y en el correo del pedido (WooCommerce). Introduce ahí la cuenta de la empresa y, en el campo del nombre de la cuenta, el nombre exacto del titular tal como lo tiene el banco, que es el que tu cliente escribirá en la transferencia. La cuenta personal del propietario, o un nombre comercial que no coincide con el titular, es lo primero que no supera la prueba.

#Cómo comprobar la antigüedad del dominio de la tienda en WHOIS

Las tiendas falsas duran poco, y por eso el comprador mira desde cuándo existe el dominio. Para los dominios genéricos, como .com, la consulta WHOIS suele dar la fecha de creación y el registrador. Con un .es la consulta da menos de lo que el comprador espera. Red.es, que gestiona el registro, explica que en su servicio WHOIS “actualmente se muestran los datos del nombre de dominio y el titular asociado”, y que el acceso por el puerto 43 “se presta únicamente a IPs de acceso autorizadas” (dominios.es). Para cualquier dominio, la fuente que no falla es la Wayback Machine, donde se ve cómo era el sitio en años anteriores y si alguna vez fue otra cosa.

El caso de los dominios caducados que describe INCIBE es justo lo que el comprador busca en la Wayback Machine: una dirección que hace dos años era el blog de una clínica dental y hoy vende zapatillas de marca. Un dominio reciente no significa fraude, pero unido a un precio bajo y a la falta de datos de la empresa se convierte en una señal fuerte para el comprador. Qué puedes hacer:

• tras un cambio de marca, conserva el dominio antiguo con una redirección 301, para que el historial de la dirección antigua lleve a la tienda nueva,
• explica en la página “sobre nosotros” desde cuándo operas y con qué nombre anterior, de acuerdo con la fecha de inscripción en el registro o de alta en Hacienda,
• no compres un dominio que perteneció a otra empresa sin revisar su historial en la Wayback Machine, porque los contenidos antiguos o las denuncias por fraude se heredan con la dirección.

#El candado del navegador significa que la tienda es segura

No. En su hoja de ruta, INCIBE pregunta primero si la URL tiene HTTPS y un candado cerrado, y añade enseguida: “Algunas webs fraudulentas utilizan certificados digitales válidos, por lo que hay que analizar más factores” (INCIBE, hoja de ruta).

Un certificado gratuito de Let’s Encrypt se emite de forma automática: el cliente ACME “demuestra a la autoridad de certificación (CA) que el servidor web controla un dominio” (traducción propia, Let’s Encrypt). Nadie comprueba la empresa, la dirección ni si la tienda envía siquiera la mercancía. El HTTPS en una tienda WooCommerce es obligatorio por otros motivos, pero lo que convence a un cliente prudente son los datos de la empresa, la cuenta y el historial del dominio.

El 21 de octubre de 2026 Google anunció que Chrome pide ahora permiso antes de abrir una conexión HTTP no segura. Este mismo año la protección ya funcionaba para quienes usaban la protección mejorada de Chrome, y ahora está activa por defecto para todos los usuarios (Google, 21 de octubre de 2026). Cuando el visitante aprueba un sitio, Chrome no vuelve a preguntar hasta que pasen al menos dos semanas sin visitarlo. Si tu tienda todavía sirve páginas por HTTP, el cliente ve esa pregunta antes de que cargue cualquier contenido.

#Cómo comprobar si las fotos de los productos son robadas

La búsqueda inversa de imágenes (Google Lens, TinEye, Bing) muestra en qué otros lugares de internet aparece una foto. El comprador sube la foto de un producto y ve si procede del catálogo del fabricante, de la tienda de otra persona o de un banco de imágenes. La hoja de ruta de INCIBE incluye la pregunta “¿Las imágenes son copiadas o de mala calidad?” entre las comprobaciones de los productos, junto a las rebajas muy grandes respecto al precio medio del mercado y a los catálogos en los que todos los artículos cuestan lo mismo, y propone comprobarlo buscando las fotos en Google Imágenes.

Una tienda que solo usa fotos del fabricante no hace nada malo, pero tampoco se distingue: los mismos archivos aparecen en decenas de tiendas, también falsas. Unas cuantas fotos propias de cada producto estrella (el producto sobre tu mesa, el paquete con la etiqueta de envío, una imagen del almacén) le dan al comprador la prueba de que la mercancía existe físicamente. Esas mismas fotos propias ayudan en los resultados de búsqueda por imagen, como explica el artículo sobre Google Lens y la optimización de imágenes en WooCommerce.

#Cómo comprobar si las reseñas de una tienda son reales

En España, las normas de la directiva Omnibus de la UE sobre reseñas están en dos leyes. El artículo 20.4 del texto refundido de consumidores dice que las prácticas comerciales en las que un empresario facilite el acceso a reseñas “deberán contener información sobre el hecho de que el empresario garantice o no que dichas reseñas publicadas han sido efectuadas por consumidores y usuarios que han utilizado o adquirido realmente el bien o servicio”, y que debe explicar “la manera en que se procesan las reseñas” (BOE, texto refundido). El mismo apartado, en su redacción actual, pide que las reseñas se refieran a productos adquiridos o utilizados en los treinta días naturales anteriores, da al empresario derecho a responder por el mismo canal y le permite pedir que se elimine una reseña no auténtica si lo acredita de forma fehaciente. El incumplimiento se considera práctica desleal por engañosa (apartado 6).

El artículo 27 de la Ley 3/1991, de Competencia Desleal, considera engañoso afirmar que las reseñas son de clientes reales “sin tomar medidas razonables y proporcionadas para comprobar” que lo son (número 7) y añadir o encargar reseñas falsas o distorsionar las de los consumidores para promocionar productos (número 8) (BOE, Ley de Competencia Desleal). Quitar las opiniones negativas auténticas para que solo queden las buenas te acerca peligrosamente a esa distorsión. Las infracciones de consumo se sancionan con multas por tramos que, según el artículo 49 del texto refundido, pueden llegar hasta ocho veces el beneficio ilícito en las muy graves.

El comprador también mira quién firma las reseñas y cuándo. INCIBE advierte de que “algunas webs fraudulentas falsean comentarios positivos” y aconseja, ante la duda, comprobar “el usuario, otras valoraciones, fecha de registro” (INCIBE, hoja de ruta). Las valoraciones en buscadores y servicios externos pesan más que las de la propia web, porque la tienda no las controla.

En WooCommerce se pueden permitir reseñas solo de clientes que compraron el producto y marcarlas con la etiqueta de propietario verificado (WooCommerce). Si lo haces así, dilo en una frase junto a las reseñas: quién puede opinar, cómo lo compruebas y si publicas todas. Eso cumple la obligación de información del artículo 20.4 y, a la vez, le da al comprador un motivo para confiar. Si recoges reseñas en un servicio externo, describe del mismo modo tu método de verificación.

#Cómo una tienda falsa suplanta a una real

El clon de una tienda real copia el logotipo, las fotos y las descripciones, y se diferencia en el dominio y en la cuenta para los pagos. La hoja de ruta de INCIBE lo resume así: “Algunas webs fraudulentas copian el nombre de una marca o la web original, modificando solo alguna letra o carácter”. Entre las pistas que INCIBE enumera aparecen también los enlaces rotos o que redirigen siempre a la portada, los errores gramaticales y de diseño y los perfiles de redes sociales que no existen (INCIBE, pistas).

A una tienda honrada el fraude le llega también por el otro lado del mostrador: pedidos pagados con tarjetas robadas y contracargos posteriores. INCIBE dedica a ello un artículo para comercios, publicado el 14 de mayo de 2024: “Si un cliente prueba a realizar varios intentos de compra con diferentes tarjetas, podría tratarse de un fraude”, y lo mismo vale para las discrepancias entre la dirección de facturación y la de envío, los pedidos muy por encima del importe medio, el envío urgente y varios clientes o tarjetas que envían a una misma dirección, posible señal de una “mula” (INCIBE, claves para detectar una compra fraudulenta). El mismo artículo trata el fraude de devolución de cargo, cuando el cliente pide el reembolso a su banco en vez de a la tienda, y recomienda “conservar registros de todas las transacciones y autenticar debidamente a los clientes”. En tu WooCommerce, todo esto parece un pedido normal y pagado, así que conviene configurar alertas en la gestión de pedidos para esas combinaciones.

Google considera prácticas similares una infracción grave de las políticas de Merchant Center y advierte de que en esos casos puede no enviar un aviso previo. La versión en español de la política incluye entre sus ejemplos “Presentar una identidad, un nombre de empresa o una información de contacto falsos” y “Mostrar una dirección física falsa o virtual como sede de la empresa mientras se opera desde una región no revelada” (Google Merchant Center). Una tienda honrada con la dirección de una oficina virtual no infringe esta norma mientras no oculte desde dónde opera y envía realmente. Aun así, conviene decirlo con claridad en la página de contacto.

#Cómo denunciar una tienda falsa que suplanta a tu empresa

INCIBE-CERT recibe reportes de fraude, y su página los enumera: “correos de phishing, tiendas online fraudulentas, sitios web que alojan malware”. Se envían al buzón [email protected] o mediante el formulario de contacto de INCIBE-CERT, con una descripción detallada, tus datos de contacto y, si puedes, pruebas como capturas de pantalla o la URL maliciosa (INCIBE, reporte de fraude). Para dudas está la Línea de Ayuda en Ciberseguridad: el 017, gratuito y confidencial, de 8 de la mañana a 11 de la noche los 365 días del año, además de WhatsApp en el 900 116 117 y Telegram en @INCIBE017 (INCIBE, línea 017).

Si el clon usa un dominio .es, el reporte tiene un efecto directo. INCIBE informa de que en 2025 trabajó “en colaboración con Red.es, para cerrar 4.600 dominios web .es potencialmente fraudulentos”, todos ellos reportados por el propio INCIBE (INCIBE, balance 2025). Con un dominio de otra extensión, el cierre depende sobre todo del alojamiento y del registrador.

La denuncia ante INCIBE es uno de tres pasos. El segundo es una denuncia de abuso a la empresa de alojamiento y al registrador del dominio, cuyos datos encontrarás en WHOIS y en los registros DNS del clon. Adjunta capturas de pantalla, la dirección del clon y la de tu tienda. El tercero es un aviso para los clientes en tu sitio y en redes sociales: cuál es tu única dirección y a nombre de quién está tu cuenta. Si alguien ya pagó al clon, remítelo a su banco y a la policía: el Centro Europeo del Consumidor en España recuerda que las estafas se denuncian ante la Policía Nacional, cuya Brigada Central de Investigación Tecnológica se ocupa de los ciberdelitos, o ante la Guardia Civil, y que si la víctima facilitó datos personales conviene notificarlo también a la Agencia Española de Protección de Datos (CEC España, dónde denunciar fraudes y estafas).

Las quejas de clientes reales, en cambio, siguen la vía de consumo. La guía de derechos del consumidor que publica el portal de consumo del Gobierno explica que lo primero es reclamar ante la empresa, con la hoja de reclamaciones si hace falta, que el vendedor debe facilitar a quien la pida, y que si no se resuelve el cliente puede acudir a la Oficina Municipal de Información al Consumidor (OMIC), a la Dirección General de Consumo de su comunidad autónoma o al Sistema Arbitral de Consumo (portal de consumo del Gobierno, derechos de los consumidores). Para que tu servicio de atención cumpla el artículo 21.2 del texto refundido, cada queja debe recibir una clave identificativa y un justificante por escrito o en soporte duradero.

#Lista de control: la prueba de fiabilidad de una tienda WooCommerce

Los puntos que revisa un comprador prudente, del más rápido al más lento.

Unos datos de empresa coherentes forman parte también del cumplimiento del derecho de consumo en España, junto con el RGPD, las normas Omnibus, el GPSR y las de desistimiento. La protección técnica de una tienda es el tema de la guía de hardening de WordPress. Si quieres encargar la revisión de esta lista en tu tienda y la corrección de los ajustes de pago, los correos transaccionales y el pie de página, describe el proyecto en la página desarrollador WooCommerce o solicita una auditoría de seguridad WordPress.

Actualización del 27 de octubre de 2026. Los sellos de confianza junto al botón de compra solo ayudan si cada uno es cierto para tu tienda. Muestra un sello de garantía de reembolso, envío gratis o soporte 24/7 solo si tus condiciones lo ofrecen de verdad. Un sello que promete más que las condiciones es una afirmación engañosa, y el comprador que lo compare con tu política de devoluciones verá la diferencia. Un icono sin texto no le dice nada a quien usa un lector de pantalla, así que cada sello necesita una etiqueta breve. Nuestro plugin Badgevo es una forma de hacerlo en WooCommerce. Muestra una fila de sellos de compra segura después del botón de añadir al carrito, bajo un título que escribes tú. Hay diez sellos SVG integrados a elegir: pago seguro, cifrado SSL, garantía de devolución, tienda verificada, envío gratis, pago con tarjeta, monedero digital, soporte 24/7, privacidad protegida y satisfacción. Bajo cada sello aparece un texto breve en el idioma del sitio, que es lo que anuncia el lector de pantalla. El ajuste opcional “Show on checkout” coloca la fila bajo el botón de realizar el pedido en la página de pago clásica, o bajo el formulario en el bloque Checkout.