Sí, siempre que tu banco cumpla con lo que la ley le exige a él, no a ti. Pagar con tarjeta por internet no es arriesgado por naturaleza: lo que te protege es una obligación muy concreta que el Real Decreto-ley 19/2018 pone sobre tu entidad, la autenticación reforzada, y entender cómo funciona es lo único que de verdad cambia lo seguro que estás.
La confirmación que te pide tu banco no es un capricho: es una obligación suya
Cuando pagas online y tu banco te pide confirmar en su app o con un código, no te está pidiendo un favor. El artículo 68.1 del Real Decreto-ley 19/2018 le obliga a aplicar esa autenticación reforzada al iniciar un pago electrónico, y el propio artículo 3 define qué tiene que tener para contar como tal: al menos dos elementos independientes de tres categorías distintas —algo que sabes (una clave), algo que tienes (tu móvil o tu tarjeta) y algo que eres (tu huella o tu cara)—, construidos de forma que la vulneración de uno no comprometa a los demás.
Para un pago a distancia, el artículo 68.1 añade algo más importante todavía: esos elementos tienen que vincular la confirmación a un importe y a un beneficiario concretos. Es la razón técnica de por qué el aviso que te llega dice cuánto vas a pagar y a qué comercio, y no un «confirma esta operación» genérico: si pudiera reutilizarse para cualquier importe o cualquier cobrador, no protegería nada.
Si tu banco no te lo pide, el riesgo es suyo, no tuyo
Aquí está la parte que casi nadie sabe y que más tranquiliza: el artículo 46.2 del Real Decreto-ley 19/2018 dice que si tu proveedor de pago no exigió autenticación reforzada, tú solo respondes de las consecuencias económicas de un cargo no autorizado si actuaste de forma fraudulenta. No por despiste, no por haber usado la tarjeta sin más: solo por fraude tuyo. Que el pago haya pasado sin pedirte nada no es un fallo de seguridad que te salpica a ti; es un incumplimiento de tu entidad, y la norma pone la consecuencia de su lado.
Esto no cambia el resto del régimen de operaciones no autorizadas —el banco sigue teniendo que probar que el cargo fue tuyo, y tiene que devolvértelo antes de investigar, no después—: está explicado artículo por artículo, con sus citas literales, en qué hacer con un cargo que no reconoces en la cuenta. Aquí no hace falta repetirlo; lo que importa en esta guía es que la falta de confirmación perjudica a tu banco, no a ti.
Si te piden confirmar algo que no estás comprando, no lo confirmes
Esta es la regla más importante de todas, y es la que convierte la autenticación reforzada en un arma de doble filo si no se entiende bien: confirmar un código o una notificación es, legalmente, lo que autoriza el pago. Si te llega una petición de confirmación y en ese momento no estás comprando nada —ni en una web, ni en una tienda, ni al teléfono con nadie—, esa confirmación no es un trámite de rutina: es la puerta de un cargo que tú no has iniciado.
No la confirmes nunca en esa situación, aunque quien te lo pida diga ser de tu banco por teléfono o por mensaje. El propio diseño de la norma exige que tú veas el importe y el beneficiario antes de dar el paso; si alguien te pide que confirmes «para verificar tu identidad» o «para evitar un bloqueo» sin que haya una compra real delante, está usando contra ti la misma herramienta que te protege. Avisa a tu banco por su canal oficial y cambia tus claves de acceso si has llegado a facilitar algún dato por otro canal.
La tarjeta virtual: protege algo distinto, y conviene saber qué
Una tarjeta virtual es un número de tarjeta distinto al de tu tarjeta física, pensado para pagar online, que algunos bancos generan de un solo uso o con datos que cambian tras cada compra. El Banco de España lo explica en su Portal del Cliente Bancario: si ese número se filtra en una tienda insegura, lo que se expone es solo ese número —y, en las de un solo uso, ni siquiera eso sirve para una segunda compra—, sin tocar tu tarjeta física ni el resto de tu cuenta.
Es una protección distinta de la autenticación reforzada, no un sustituto: una limita el daño si un número se filtra, la otra impide que se complete un pago que tú no has confirmado. Lo ideal es tener las dos, y no todas las cuentas la ofrecen igual. De las cuentas de nuestro ranking que tenemos verificadas, recogen en su ficha una tarjeta virtual incluida sin coste adicional:
- Revolut, con datos que además cambian tras cada compra (comprobado el 1 de octubre de 2026).
- bunq, como tarjeta digital del plan Free, creada desde la app (comprobado el 1 de octubre de 2026).
- N26, desde el primer día, pensada para pagar con el móvil (comprobado el 8 de octubre de 2026).
- Blackcat, además de la física y las adicionales (comprobado el 30 de septiembre de 2026).
- ABANCA, con la misma tarjeta usable en físico o en virtual (comprobado el 23 de septiembre de 2026).
- La Cuenta Digital de Bankinter, con tarjetas virtuales ilimitadas (comprobado el 8 de octubre de 2026).
Que una cuenta no esté en esta lista no significa que no tenga tarjeta virtual: significa que no lo hemos encontrado recogido en su ficha a la fecha indicada. Compruébalo en la web de la entidad antes de descartarla.
Lo que depende de ti, en tres pasos
- Comprueba el importe y el comercio antes de confirmar, siempre. Es el único paso que la ley no puede dar por ti: ella obliga al banco a mostrártelos, pero eres tú quien tiene que leerlos.
- Usa la tarjeta virtual para comprar en una tienda que no conoces. Limita el daño de una filtración sin que tengas que dejar de comprar donde quieras.
- Pon límites y alertas en la app de tu banco. La mayoría de entidades dejan fijar un tope de gasto online y avisar de cada operación: no evita que alguien lo intente, pero te entera al momento si pasa.
Dos situaciones que no son esta guía, y adónde ir
Si lo que te preocupa no es la seguridad en general sino que el código no te llega al intentar pagar, esa consulta tiene su propia respuesta, con las excepciones exactas en las que un comercio sí puede cobrarte sin pedírtelo: no me llega el código para pagar con tarjeta. Y si lo que dudas es qué forma de pago usar para una compra concreta —una transferencia o la tarjeta—, la diferencia real está en lo que puedes recuperar si algo sale mal, y está desarrollada en transferencia o tarjeta para pagar una compra por internet. Si además dudas entre pagar con una tarjeta de débito o una de crédito, aquí están las tres diferencias que de verdad cambian algo.
Y si lo que buscas es la tarjeta en sí, lo que cuesta cada una al año y fuera de España lo comparamos en nuestro ranking de tarjetas.
Y lo de siempre, que aquí importa doblemente: las condiciones de cada tarjeta y cada cuenta las fija su entidad y pueden cambiar. Las fichas de este artículo se comprobaron entre el 23 de septiembre y el 8 de octubre de 2026; antes de decidirte por una, ábrela y compruébala.
