Una web bloqueada no significa infección: seguridad por capas en Edge y Windows

Una advertencia de «sitio potencialmente peligroso» puede aparecer de pronto al navegar. El mensaje menciona contenido de alto riesgo y ofrece una opción para continuar bajo responsabilidad propia. ¿El ordenador está infectado? ¿Bloqueó el navegador, Windows o el proveedor de Internet? ¿Cómo llevar esa protección fuera de la red doméstica?

La respuesta no empieza instalando otro antivirus ni pulsando «visitar de todos modos». Empieza por averiguar qué capa emitió la alerta y revisar las defensas que actúan en cada una.

Esta guía presenta un escenario didáctico desidentificado. No incluye el sitio originalmente señalado, proveedor de conexión, capturas reales, perfiles, nombres, identificadores, fechas de acceso ni datos del equipo. Las rutas técnicas que siguen son las convenciones públicas de Windows y Edge, no información de una persona.

1. ¿Quién bloqueó la página?

Hay distintas capas capaces de impedir una conexión:

Capa	Qué puede comprobar	Límite importante
Router o proveedor de Internet	Dominios y reputación de destinos, según el servicio contratado	La protección puede desaparecer al cambiar de red.
Navegador (Microsoft Defender SmartScreen)	Sitios reportados como phishing o malware y descargas sospechosas	Una advertencia no prueba que el dispositivo ya esté infectado.
Resolución DNS con filtrado	Dominios incluidos en fuentes de inteligencia de amenazas	No suele inspeccionar la ruta específica de una URL ni el contenido de la página.
Windows Security / antivirus	Aplicaciones, archivos y comportamientos de riesgo	No reemplaza la verificación de sitios y DNS.

La marca o el texto de una página de bloqueo pueden orientar hacia su emisor, pero no basta con ver una URL de aviso para atribuir con certeza el mecanismo. Es mejor revisar el registro de seguridad del servicio, la configuración del navegador y el historial de protección del sistema.

Y conviene distinguir dos conceptos: un destino bloqueado puede ser peligroso sin que haya una infección local. Una publicidad, un enlace engañoso o una redirección también pueden desembocar en una advertencia.

2. Blindar Edge sin romper páginas normales

En Microsoft Edge, abre edge://settings/privacy/security y comprueba estas opciones:

Microsoft Defender SmartScreen: alertas de phishing, sitios maliciosos y descargas de riesgo.
Block potentially unwanted apps: frena descargas de software con mala reputación.
Website typo protection: avisa de posibles dominios escritos por error que imitan otros.
Automatically switch to HTTPS: intenta usar conexión web cifrada cuando corresponde; HTTPS no acredita por sí mismo que el sitio sea legítimo.
Enhance your security on the web → Balanced: añade mitigaciones en sitios menos familiares sin imponer el modo más restrictivo en todas las páginas.
Scareware blocker, si aparece disponible: detecta páginas de falsas alertas y supuestos servicios de soporte que tratan de asustar al visitante.

El modo Strict puede aumentar las mitigaciones, pero también romper funcionalidades. Para un uso general, Balanced es una opción razonable; quien quiera mayor protección en sesiones privadas puede valorar Strict en InPrivate si su versión lo ofrece.

El bloqueador de scareware trabaja como una defensa adicional, no como prueba de que una web específica sea maliciosa.

3. Windows tiene un SmartScreen distinto del de Edge

En Seguridad de Windows → Control de aplicaciones y navegador → Protección basada en reputación, hay protecciones separadas:

Check apps and files: evalúa aplicaciones y archivos descargados de Internet.
SmartScreen for Microsoft Edge: examina destinos y descargas dentro del navegador.
Potentially unwanted app blocking: puede bloquear aplicaciones y descargas potencialmente no deseadas.
SmartScreen for Microsoft Store apps: revisa contenido web utilizado por aplicaciones de la tienda.

Que SmartScreen esté activado en Edge no garantiza que «Check apps and files» esté activado en Windows. Revisa ambas secciones de forma independiente. Mantén además el antivirus en tiempo real y el firewall habilitados.

Si una opción aparece gris con «This setting is managed by your administrator», eso no demuestra por sí solo que un tercero controle el equipo. Puede existir una política local, una configuración de seguridad, un agente corporativo o una directiva aplicada por otra herramienta.

4. Cómo diagnosticar políticas sin desactivar la seguridad

Primero abre edge://policy. Allí se muestran el nombre de la política, su valor, el origen y su estado.

Una política marcada «Error, Ignored» no está siendo aplicada como se pretendía. No debe presentarse como una protección habilitada ni como evidencia de administración maliciosa. Es una pista para investigar.

PowerShell ofrece verificaciones de solo lectura, sin publicar resultados privados:

# ¿Está elevada esta sesión de PowerShell?
([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)

# Políticas de Edge (no modifica el Registro)
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Edge' -ErrorAction SilentlyContinue |
  Select-Object SmartScreenEnabled, SmartScreenPuaEnabled, DnsOverHttpsMode

# Política de SmartScreen para aplicaciones/archivos de Windows
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\System' -ErrorAction SilentlyContinue |
  Select-Object EnableSmartScreen

En la política de Windows documentada por Microsoft, EnableSmartScreen=0 indica deshabilitado, mientras que 1 indica habilitado. Es un control distinto de SmartScreen dentro del navegador.

Si la comprobación administrativa devuelve False, la consola no está elevada; no hay que interpretar un error de acceso al Registro como prueba de malware o secuestro de permisos.

No borres claves, tomes posesión del Registro ni desactives Defender para desbloquear una opción. Si el dispositivo pertenece a una organización, consulta con sus administradores. Si es personal, identifica primero el origen de la política, respalda el estado previo, aplica un cambio mínimo mediante el mecanismo de administración adecuado y comprueba las protecciones después de reiniciar. Las políticas pueden reaparecer si otro software las administra.

5. DNS cifrado no equivale a DNS que bloquea amenazas

El DNS traduce nombres como example.org a direcciones de red. DNS sobre HTTPS (DoH) cifra las consultas entre el navegador y su resolvedor. Esto reduce su exposición en tránsito, pero no garantiza que el proveedor elegido bloquee malware.

Un resolvedor DNS público estándar puede priorizar velocidad o privacidad y no aplicar filtros de amenazas. Algunos proveedores ofrecen variantes de filtrado; conviene distinguirlas.

Quad9 publica una variante gratuita de bloqueo de amenazas:

Uso	Valor
DNS sobre HTTPS	`https://dns.quad9.net/dns-query`
DNS IPv4 principal	`9.9.9.9`
DNS IPv4 alternativo	`149.112.112.112`

Para configurarlo en Edge:

Abre edge://settings/privacy/security.
Activa Use secure DNS.
Elige Choose a service provider.
Introduce https://dns.quad9.net/dns-query y guarda.

Si la opción está bloqueada, inspecciona las políticas y las restricciones del navegador antes de modificar el Registro. El DNS de Edge no tiene por qué seguir el del router o el de Windows; también pueden intervenir VPN, perfiles administrados y aplicaciones con su propio resolvedor.

Verificar sin confundir los resultados

Visita on.quad9.net desde el navegador configurado. La respuesta «YES» indica que la comprobación llegó por Quad9; por sí sola no demuestra que se haya usado DoH. Para examinar el protocolo en una consulta del sistema, Quad9 documenta esta prueba:

Resolve-DnsName -Type txt proto.on.quad9.net.

Una respuesta doh indica recepción mediante DNS sobre HTTPS en esa prueba; do53-udp o do53-tcp indica DNS tradicional. La consulta de PowerShell suele probar la ruta DNS de Windows, no necesariamente la ruta interna de Edge, así que no hay que presentar ambos resultados como equivalentes.

Si se desea cubrir otras aplicaciones, además del navegador, habrá que configurar DNS de Windows, contemplando IPv4 e IPv6, cifrado y posibles VPN. No se debe afirmar protección de todo el sistema a partir de una única prueba hecha dentro de Edge.

6. Qué no resuelve ninguna de estas capas

Un servicio DNS de bloqueo no es un antivirus, ni inspecciona todos los enlaces, contenidos o rutas web. SmartScreen tampoco reconoce todas las amenazas nuevas. Los filtros pueden dar falsos positivos o falsos negativos; el DNS cifrado no convierte una web fraudulenta en segura. HTTPS protege el transporte, no la honestidad de la página.

La defensa cotidiana se completa con actualizaciones, protección antimalware activa, firewall, contraseñas únicas, autenticación multifactor, copias de seguridad y la costumbre de no omitir avisos de seguridad sin investigar primero.

Checklist: una verificación responsable

Identificar si el bloqueo inicial salió de la red, el navegador o Windows.
Confirmar SmartScreen en Edge y, por separado, «Check apps and files» en Windows.
Mantener Balanced y las protecciones de descargas y engaños activas cuando estén disponibles.
Revisar edge://policy si aparecen restricciones; leer antes de cambiar.
Elegir un DNS que cifre y filtre, si ambos objetivos importan.
Verificar el resolvedor y, aparte, el protocolo; distinguir navegador de sistema operativo.
No interpretar una alerta aislada como infección confirmada ni una prueba «YES» como seguridad absoluta.

La enseñanza

La protección real no depende de un único router, antivirus o navegador. Depende de capas que se complementan, controles que se verifican por separado y cambios que se hacen con evidencia y posibilidad de reversión. Una advertencia inesperada puede ser el punto de partida para fortalecer un equipo sin caer en alarmismos ni desactivar medidas útiles.