Prepara denuncias de abuso para registradores, proveedores de hosting y CDN, como correo y como JSON.
Nueva
Registro de pruebas
Se ejecuta localmenteNueva
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Registro de pruebas
Para qué sirve
Anota un avistamiento de phishing de forma que un equipo de abuso pueda usarlo: la URL, por dónde te llegó, la hora UTC, el SHA-256 de una captura de pantalla o de un archivo y notas, en un único registro JSON que se puede verificar más adelante.
Funciona íntegramente en tu navegador: no se sube nada de lo que introduzcas.
Cómo utilizar Registro de pruebas
- Pega el enlace. Pega el enlace sospechoso en Suspicious URL (URL sospechosa). Una forma neutralizada como hxxps://example[.]com sirve: la herramienta la restaura y añade https:// si falta el esquema.
- Indica por dónde te llegó. Elige el canal en Where you saw it (Dónde lo viste), como SMS, E-mail o QR code. Pon el número del remitente, el nombre de la cuenta o el ID del anuncio en Details of the source (Detalles del origen).
- Introduce la hora en UTC. Escribe cuándo lo viste en Seen at (UTC), convertido desde tu hora local, o pulsa Now (Ahora) para la hora UTC actual. Si lo dejas vacío, observed_at queda en null.
- Añade una captura de pantalla. Elige una captura de pantalla o un archivo guardado. Tu navegador calcula su hash SHA-256; solo su nombre, tamaño, tipo y hash entran en el registro.
- Crea y guarda el registro. Pulsa Create record (Crear registro) y después Copy JSON o Download .json. Guarda el JSON junto al archivo original y usa Send to… (Enviar a…) para abrirlo en Abuse Report Generator.
Ejemplo
Un enlace de estafa de peajes recibido por SMS
hxxps://ezpass-pay[.]example/tollsRecord created. Keep the JSON with the original file: the record SHA-256 is computed over the record without that field (keys sorted, no spaces), so anyone can recompute it and see the record was not changed.
{
"type": "phishdestroy-evidence",
"version": 1,
"recorded_at": "2026-10-20T17:10:08Z",
"observed_at": "2026-10-20T08:30:00Z",
"url": "https://ezpass-pay.example/tolls",
"url_defanged": "hxxps://ezpass-pay[.]example/tolls",
"host": "ezpass-pay.example",
"source": "sms",
"source_label": "SMS",
"source_detail": "sender +1 555 0100",
"file": null,
"notes": "Unpaid toll text; the page asks for card details.",
"record_sha256": "181a29e8971293fb3c4f341e3e817bca96b5fc6991c8de62e645447bb5650b5a"
}Crea un registro con la URL restaurada y neutralizada, el origen SMS con el remitente, la hora 2026-10-20T08:30:00Z y una nota, más record_sha256 calculado sobre el JSON canónico. Send to Abuse Report Generator rellena la URL, la hora de primera detección, el hash y la descripción de una denuncia.
Qué comprueba
| Señal | Qué significa |
|---|---|
| url y host | El enlace en su forma normal y pulsable, tal como lo interpreta el navegador, y su nombre de host. Es lo que consulta un equipo de abuso, así que comprueba que el host es el sitio de la estafa. |
| url_defanged | El mismo enlace con hxxps:// y [.], para que no se pueda pulsar por accidente al pegarlo en un correo o en un chat. |
| observed_at y recorded_at | observed_at es cuándo viste la estafa; recorded_at es cuándo pulsaste Create record. Si la primera es una estimación, indícalo en las notas. |
| source, source_label, source_detail | El canal de una lista fija (E-mail, SMS, QR code, Online ad, Phone call y otros) más tu propio detalle, como el número del remitente. |
| file | Nombre, tamaño en bytes, tipo y SHA-256 en minúsculas del archivo que elegiste, o null. Si el mismo archivo da más adelante otro hash, no es el mismo archivo. |
| notes | Tu descripción: qué pedía la página y qué marca imitaba. No pegues nunca las contraseñas o los números de tarjeta que escribiste en la página de la estafa. |
| record_sha256 | SHA-256 del registro sin este campo, con las claves ordenadas y sin espacios. Cambiar cualquier otro campo cambia este valor. |
| Add at least a URL, a file or a note. | Los tres están vacíos o no se pueden usar, así que no se crea ningún registro (el mensaje pide añadir al menos una URL, un archivo o una nota). También aparece cuando lo único que introdujiste es un texto que no es un enlace. |
Más ejemplos
Enlace QR neutralizado sin esquema
secure-wallet-verify[.]example/connect, source QR code, detail sticker on a parking meter, seen 2026-10-21 14:05url https://secure-wallet-verify.example/connect, url_defanged hxxps://secure-wallet-verify[.]example/connect, host secure-wallet-verify.example, source qr (QR code), observed_at 2026-10-21T14:05:00Z, file null y un record_sha256 que también cubre recorded_at.
Un adjunto sin enlace
URL empty, source E-mail, a PDF chosen as the file, note: Attachment only, no link.url, url_defanged y host son null; file contiene el nombre del PDF, su tamaño, el tipo application/pdf y el SHA-256; source_label es E-mail.
Texto que no es un enlace
call +1 555 0100 in Suspicious URL, with a note filled inNo es una URL: llama al +1 555 0100, indicando que se introduzca una dirección web como https://login-example.com/verify. No se crea ningún registro hasta que el campo contenga un enlace o se vacíe; el número de teléfono debe figurar en «Detalles de la fuente» o en «Notas».
Preguntas frecuentes
¿Para qué sirve el SHA-256 del registro?
Se calcula sobre el propio registro (sin ese campo, con las claves ordenadas y sin espacios). Cualquiera que reciba el JSON puede volver a calcularlo y ver que la URL, la hora y el hash del archivo no se modificaron después de crear el registro.
¿Se sube la captura de pantalla o el archivo?
No. El archivo se lee y se procesa con SHA-256 en tu navegador; solo su nombre, tamaño, tipo y hash entran en el registro. Guarda el archivo original junto con el JSON.
¿Por qué las horas van en UTC?
Los equipos de abuso, los registradores y la policía trabajan en distintas zonas horarias. Una marca de tiempo UTC escrita como 2026-10-20T08:30:00Z no se puede malinterpretar; el campo Seen at se interpreta como UTC, y Now rellena la hora UTC actual.
¿Por qué record_sha256 cambia cada vez que pulso Create record?
recorded_at, el momento en que pulsas el botón, forma parte del registro sobre el que se calcula el hash. Por eso, dos registros del mismo avistamiento tienen hashes distintos. Guarda y envía uno de ellos.
¿Cómo puede alguien verificar un registro que le he enviado?
Quitando el campo record_sha256, escribiendo el resto como JSON con las claves ordenadas y sin espacios, y calculando su SHA-256: debe coincidir. Para verificar la captura de pantalla, se calcula el hash del archivo original, por ejemplo con File Hash, y se compara con file.sha256.
¿Demuestra el hash cuándo vi la estafa?
No. Muestra que el registro no se modificó después de calcular el hash, pero cualquiera puede crear un registro nuevo con otras horas. Envía pronto el registro a un equipo de abuso, o archiva la página, para que otra persona tenga una copia fechada.