¿Te ha llegado algo raro? Elige qué es y te digo si puedes fiarte.Todo se analiza en tu móvil. Nada sale de aquí salvo que tú lo actives.
Comunicaciones
Archivos y datos
Cuenta y sesión
URLs
Pega un enlace y te digo si puedes fiarte de él. Detecta dominios que imitan a otros, letras cambiadas y enlaces acortados que esconden su destino.
Cómo copio un enlace sin abrirlo
No lo toques. Mantén pulsado el mensaje donde viene (no el enlace) y elige Copiar. Si pegas el mensaje entero, mejor en la herramienta SMS: saca los enlaces sola y además mira el texto.
Mantener pulsado el propio enlace también sirve en Android (Copiar enlace), pero en iPhone puede cargar una vista previa de la página.
En Android, con la app instalada, también puedes mandarlo desde el menú Compartir y elegir Cerberus.
Qué comprueba exactamente
Analiza una URL (acortada o no): heurísticas de patrones, typosquatting y homógrafos siempre offline. Resolver el destino final y la edad del dominio requieren red — actívalo abajo si lo necesitas.
Al activarlo: el dominio se consulta contra las listas de phishing y malware de Cloudflare; la URL se envía a api.microlink.io para averiguar a dónde lleva de verdad (25 consultas al día); y para fechar el dominio se consulta rdap.org y, en los dominios cuyo registro no publica RDAP (.es, .eu), el registro público de certificados crt.sh. No se envía nada más de tu dispositivo.
Archivos
¿Ese “documento.pdf” es de verdad un PDF? Mira dentro del archivo, no en el nombre.
Cómo lo subo desde el móvil
Si te ha llegado por WhatsApp o por correo, guárdalo primero en el móvil (Descargar o Guardar en Archivos) y elígelo desde aquí. Comprobarlo aquí no lo abre ni lo ejecuta: solo se leen sus datos.
Qué comprueba exactamente
Lee los primeros bytes del archivo para detectar su tipo real y compararlo con la extensión. Todo ocurre en tu dispositivo — el archivo nunca sale de aquí.
Arrastra un archivo aquí, o
Historial
Resultados guardados en este dispositivo (nunca se sincronizan). Las contraseñas y JWT no se guardan aquí.
Correo
¿El correo es de quien dice ser? Pégalo aquí —mejor con sus cabeceras, pero vale con el texto— y te digo si tiene pinta de suplantación.
Cómo copio las cabeceras
Las cabeceras son la parte oculta del correo donde queda registrado quién lo envió de verdad. Se copian desde el ordenador: la mayoría de apps del móvil no las enseñan.
- Gmail: abre el correo, pulsa los tres puntos ⋮ junto a Responder → Mostrar original → Copiar al portapapeles.
- Outlook web o Hotmail: abre el correo → ··· → Ver → Ver detalles del mensaje.
- Outlook de escritorio: abre el correo → Archivo → Propiedades → recuadro Encabezados de Internet.
- Mail de Mac: abre el correo y pulsa ⌥⌘U (Visualización → Mensaje → Fuente original).
¿Solo tienes el móvil? Copia el texto del correo y pégalo tal cual. Se analizan el contenido y los enlaces; lo único que no se puede comprobar sin cabeceras es quién lo envió.
Qué comprueba exactamente
Con cabeceras se comprueban SPF, DKIM y DMARC, si coinciden From, Return-Path y Reply-To, y si el nombre mostrado o el asunto suplantan a una entidad conocida. Con o sin cabeceras se analizan el texto y los enlaces del cuerpo. Se acepta también el .eml entero. Todo en tu dispositivo salvo que actives la consulta en internet.
Al activarlo, los dominios enlazados en el mensaje se consultan contra las listas de phishing y malware de Cloudflare. El texto del mensaje nunca sale de tu dispositivo.
SMS y mensajes
Pega un SMS o WhatsApp sospechoso y te digo si tiene pinta de estafa.
Cómo copio el mensaje
Mantén pulsado el mensaje y elige Copiar (en WhatsApp, el icono de copiar que aparece arriba). Pégalo entero, con el enlace incluido: no hace falta abrir nada.
En Android, con la app instalada, puedes mandarlo directamente desde el menú Compartir de la app donde lo has recibido, si lo tiene, y elegir Cerberus.
Qué comprueba exactamente
Pega el texto del SMS o mensaje sospechoso. Se buscan patrones de smishing: urgencia, ganchos, peticiones de credenciales y enlaces (acortados, typosquat, IP literal…). Todo offline.
Al activarlo, los dominios enlazados en el mensaje se consultan contra las listas de phishing y malware de Cloudflare. El texto del mensaje nunca sale de tu dispositivo.
DNS / SPF
¿Cualquiera puede mandar correos haciéndose pasar por este dominio? Útil para comprobar el tuyo.
Qué dominio pongo
Lo que va detrás de la @ en la dirección de quien te escribe: de avisos@correos.es, el dominio es correos.es. También sirve para comprobar el tuyo, si tienes web o correo de empresa.
Qué comprueba exactamente
Comprueba si un dominio tiene SPF y DMARC configurados — sin esto, es más fácil falsificar correos "de" ese dominio. Útil para verificar el tuyo propio o el de una empresa que te escribió. Consulta DNS pública (Cloudflare) — el dominio nunca se guarda salvo el propio resultado en tu historial.
Al pulsar Comprobar, el dominio se consulta en el DNS público de Cloudflare (cloudflare-dns.com). No se envía nada más de tu dispositivo.
JWT
Mira qué lleva dentro un token JWT, sin mandarlo a ninguna web.
Qué comprueba exactamente
Decodifica un JWT (header + payload). No verifica la firma — solo lectura, ideal para inspeccionar tokens sin exponerlos a servicios externos. No se guarda en historial.
Fuga de IP (WebRTC)
¿Tu VPN te está tapando de verdad? Comprueba si tu IP real se escapa por WebRTC.
Cuándo tiene sentido
Solo si usas una VPN: conéctala antes de pulsar el botón. Sin VPN verás tu IP real, y eso es lo normal.
Qué comprueba exactamente
Cualquier web puede usar WebRTC para preguntarle a tu navegador tu IP local y tu IP pública vista por un servidor STUN — sin permiso, sin aviso. Si usas VPN, esa consulta a veces se salta el túnel y revela tu IP real. Esta comprobación hace lo mismo a propósito y lo compara contra tu IP pública vista por una petición HTTPS normal (que sí pasa por la VPN), para que veas si hay discrepancia.
Al pulsar, tu navegador contacta stun.l.google.com (STUN) y api.ipify.org (IP pública) para comparar. No se guarda nada en historial — es información sobre ti, no un archivo o mensaje externo.
Contraseña
¿Es fuerte tu contraseña? Y si quieres, si ha aparecido en alguna filtración.
Qué comprueba exactamente
Estimación de fuerza offline (entropía + patrones comunes). La contraseña no se envía ni se guarda en ningún sitio, ni siquiera en el historial.
Envía solo los primeros 5 caracteres del hash SHA-1 de la contraseña a api.pwnedpasswords.com — la contraseña en sí nunca sale del dispositivo (k-anonimity). No se guarda en historial.
Decodificador
¿Te has topado con un texto raro tipo aHR0cHM6...? Aquí se ve qué dice.
Qué comprueba exactamente
Prueba Base64, Base64url, Hex y URL-decode sobre el texto — útil para inspeccionar payloads ofuscados.
Secretos
¿Se te ha colado una clave o un token en el código? Pega el código y lo busco.
Qué comprueba exactamente
Pega código o config: busca AWS/GitHub/Slack/Stripe/Google keys, tokens, claves privadas y asignaciones tipo api_key=.... Los valores se muestran parcialmente ocultos. No se guarda en historial.
Apps
¿Qué permisos pide de verdad esta app? Sube el .apk o .ipa y te lo enseño.
De dónde saco el archivo
Es para cuando alguien te pasa una app para instalar fuera de la tienda: un .apk por WhatsApp, por correo o desde un enlace. Descárgalo sin instalarlo y elígelo aquí. Las apps de Google Play o App Store no se pueden analizar desde aquí, y los .ipa de iPhone solo los tendrás si desarrollas apps.
Qué comprueba exactamente
Sube un .apk o .ipa: extrae el manifest (AndroidManifest.xml o Info.plist) — paquete + permisos declarados, marcando los peligrosos — y escanea todo el binario en busca de secretos embebidos (keys, tokens). También funciona con cualquier binario (.exe, .dylib) solo para la parte de secretos. Todo se procesa en tu dispositivo.
Arrastra un .apk, .ipa u otro binario aquí, o
QR
Un QR es el único enlace que no puedes leer antes de abrirlo. Sube la foto y verás qué contiene exactamente antes de que tu móvil haga nada con él.
Cómo hago la foto
Puedes hacer la foto en el momento o elegir una captura de pantalla o una imagen que te hayan enviado. Si al enfocar el código la cámara te enseña un enlace, no lo pulses: haz la foto y compruébalo aquí primero.
Qué comprueba exactamente
Por eso funciona pegar una pegatina encima del código de un parquímetro, una multa o la carta de un bar. Se decodifica con el propio navegador —la imagen no sale de tu dispositivo— y se clasifica el contenido: si es un enlace pasa por el análisis de URLs completo, y se avisa aparte de las cargas propias del formato (alta de doble factor, wifi abierta, SMS ya redactado, números de tarificación especial, solicitudes de pago).
Arrastra la foto del código aquí, o
Este navegador no sabe leer códigos QR (le falta BarcodeDetector; Safari no lo trae). Apunta con la cámara del móvil, que te enseñará el enlace sin abrirlo, y pégalo aquí abajo.
Solo se usa si el código contiene un enlace, y entonces se comprueba igual que en la herramienta de URLs: listas de Cloudflare, destino final vía api.microlink.io y antigüedad del dominio vía rdap.org / crt.sh. La imagen del código nunca sale de tu dispositivo.
EXIF
Antes de compartir una foto: mira si lleva escrito dónde la hiciste.
Antes de fiarte del resultado
Solo lee fotos JPEG; las del iPhone suelen guardarse en HEIC.
Algunos móviles quitan la ubicación al pasarle una foto a una web, así que un «sin GPS» aquí no garantiza que la foto original no la lleve.
Donde de verdad importa es al enviarla: por WhatsApp como foto normal se quitan estos datos, pero enviada como documento o por correo se conservan.
Qué comprueba exactamente
Lee metadatos EXIF de una foto (JPEG): cámara, fecha y — lo más importante antes de compartirla — si lleva coordenadas GPS. Se procesa en tu dispositivo.
Arrastra una imagen aquí, o