Saltar al contenido

Tus archivos no se suben

Menú

Fórmulas escondidas en un CSV

Un CSV es texto, pero Excel ejecuta como fórmula lo que parte con =. Esto se conoce como inyección de fórmulas.

Cómo ocurre

Imagina un sistema que deja escribir un comentario libre y después exporta todo a CSV. Si alguien escribe =HIPERVINCULO("https://ejemplo.invalid";"Clic aquí"), quien abra el archivo verá un enlace que parece parte de tus datos. Hay fórmulas más dañinas, y Excel suele mostrar avisos que muchas personas aceptan sin leer.

Los caracteres de riesgo al inicio de una celda son =, +, - y @, además del tabulador y los saltos de línea.

Si recibes un CSV

  • No lo abras con doble clic si no confías en quién lo generó.
  • Revísalo en Reparar CSV: la fila «Fórmulas escondidas» cuenta cuántas celdas hay.
  • Si Excel avisa de contenido externo o vínculos, no los actives.

Si generas un CSV

  • Antepón un apóstrofo a las celdas de texto que partan con esos caracteres, y deja el valor entre comillas.
  • No lo apliques a números reales: -5 en una columna numérica no es un problema.
  • Si el archivo es para personas y no para programas, entrégalo como .xlsx. Ahí un texto queda guardado como texto.

Los conversores de este sitio hacen lo primero por defecto. Si necesitas el dato exacto, desmarca «Proteger fórmulas» en Más opciones.

Fuente: CSV Injection, de OWASP.

Preguntas frecuentes

¿Un número de teléfono con + es peligroso?

No por sí mismo, pero entra en la regla porque Excel lo trata como operación. Al protegerlo queda como texto, que es lo que corresponde a un teléfono.

¿Un .xlsx tiene el mismo problema?

Si el valor se guardó como texto, no se ejecuta. Los archivos generados aquí lo guardan así.

Revisado el 6 de noviembre de 2026.