Conversor de Punycode
Convierte dominios entre Unicode y Punycode (xn--) en tu navegador y detecta ataques de homógrafos IDN.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un conversor de Punycode en el navegador: codifica un dominio Unicode o internacionalizado (IDN) a su forma ASCII xn-- (Unicode a Punycode) y decodifica dominios xn-- de vuelta a Unicode (Punycode a Unicode). Trabaja por etiquetas: cada parte separada por puntos se convierte por separado, así que solo las etiquetas que lo necesitan reciben el prefijo xn-- y las etiquetas en ASCII simple pasan sin cambios (por ejemplo, 例え.jp se convierte en xn--r8jz45g.jp). Está pensado para el caso de uso de seguridad: avisa del riesgo de homógrafos IDN cuando un dominio mezcla alfabetos o usa caracteres parecidos (una «а» cirílica haciéndose pasar por una «a» latina), el truco que hay detrás de los enlaces de phishing suplantados. Implementa el algoritmo Bootstring estándar del RFC 3492, así que las conversiones van y vuelven exactamente (münchen ⇄ xn--mnchen-3ya, bücher ⇄ xn--bcher-kva). Todo funciona en el cliente: el dominio que pegas, incluido un enlace sospechoso de un correo de phishing, nunca se sube ni se envía a un servidor. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Pega un dominio en Unicode para codificarlo a xn--, o un dominio xn-- para decodificarlo a Unicode.
- Revisa la conversión etiqueta por etiqueta: las etiquetas ASCII pasan sin cambios.
- Fíjate en el aviso de homógrafo si el dominio mezcla alfabetos o usa caracteres que imitan letras ASCII.
- Confirma cualquier destino sospechoso por un canal de confianza antes de actuar.
Preguntas frecuentes
¿Qué es Punycode?
Punycode es una forma de representar texto Unicode usando solo los caracteres ASCII limitados que admite el Sistema de Nombres de Dominio (las letras a-z, los dígitos 0-9 y el guion). Lo define el RFC 3492 y es la mitad de codificación de IDNA, el estándar que permite que los nombres de dominio contengan caracteres no ASCII, como letras acentuadas, caracteres chinos o emojis. Una etiqueta Punycode lleva el prefijo «xn--»; por ejemplo, el dominio Unicode münchen.de se transmite como xn--mnchen-3ya.de. Los navegadores codifican un dominio internacionalizado a Punycode antes de la consulta DNS y lo decodifican de vuelta para mostrarlo.
¿Qué significa el prefijo xn--?
El prefijo «xn--» (el prefijo ACE, o ASCII-Compatible Encoding) indica al software que el resto de la etiqueta es una cadena Unicode codificada en Punycode y no una etiqueta ASCII normal. Todo lo que hay antes del último guion de la parte codificada son los caracteres ASCII básicos de la etiqueta original, tal cual; todo lo que hay después es la codificación comprimida de los caracteres no ASCII y de dónde van. Una etiqueta sin caracteres no ASCII se deja intacta: nunca recibe el prefijo xn--. Por eso esta herramienta convierte cada etiqueta por separado: en xn--mnchen-3ya.de solo la primera etiqueta estaba internacionalizada, así que solo esa se codifica y .de pasa sin cambios.
¿Por qué existe Punycode?
El DNS se diseñó cuando los nombres de host se limitaban a letras ASCII, dígitos y guiones, pero el mundo escribe dominios en muchos alfabetos. Punycode e IDNA salvan esa distancia: permiten registrar y usar un dominio en tu propio idioma (por ejemplo café.fr o 例え.jp) mientras el DNS subyacente solo ve ASCII. El nombre Unicode es lo que una persona escribe y ve; la forma xn-- es lo que circula de verdad por los resolvedores DNS, los certificados TLS y los logs. Convertir entre ambas es esencial cuando lees logs en bruto, nombres de sujeto de certificados o cabeceras de correo, donde solo aparece la forma xn--.
¿Qué es un ataque de homógrafos IDN?
Un ataque de homógrafos (u homoglifos) IDN aprovecha que caracteres Unicode distintos pueden verse idénticos en pantalla. Un atacante registra un dominio que visualmente coincide con una marca de confianza pero usa caracteres parecidos de otro alfabeto: por ejemplo, sustituye la «a» latina de apple.com por la «а» cirílica (U+0430). A simple vista las dos direcciones no se distinguen, pero son dominios distintos que resuelven a servidores distintos, así que la víctima que hace clic en el enlace acaba en el del atacante. Decodificar el dominio a su forma Punycode es la defensa fiable: la dirección suplantada se delata como algo parecido a xn--pple-43d.com, que obviamente no es el apple.com real.
¿Cómo distingo un dominio real de una suplantación por homógrafos?
Conviértelo a Punycode, lee el resultado xn-- y desconfía de un dominio que mezcle alfabetos. Un dominio internacionalizado genuino suele estar escrito por completo en un solo alfabeto (todo latino, todo cirílico, todo han); una etiqueta que mezcla, por ejemplo, letras latinas con un solo carácter cirílico o griego es una señal fuerte de suplantación. Esta herramienta destaca ambas cosas: decodifica cualquier dominio xn-- para que veas lo que es de verdad y avisa cuando la forma Unicode mezcla alfabetos o contiene caracteres que imitan letras ASCII. Los navegadores modernos también se defienden mostrando el Punycode en bruto en la barra de direcciones cuando un dominio parece sospechoso, pero nunca debes fiarte solo de la inspección visual de un enlace.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.