Cómo asegurar un dominio y mantenerlo seguro para siempre

1. Qué significa proteger un nombre de dominio

Cuando la gente habla de cómo proteger un nombre de dominio, por lo general se refiere a una de dos cosas: asegurarse de obtener el nombre antes de que un competidor, un acaparador o un actor malintencionado lo reclame, o asegurarse de no perderlo después del registro por descuido, robo o por falta de pago al vencer. Como dueño de un dominio, necesitas enfocarte por igual en ambos aspectos. Sin embargo, la seguridad del dominio funciona en distintas capas y pasos del proceso de registro:

• Cuenta: tus credenciales de inicio de sesión del registrador, la autenticación de dos factores y los controles de acceso
• Registro: privacidad WHOIS, bloqueo del registrador, renovación automática y ajustes de autorización de transferencia
• DNS: DNSSEC, certificados SSL y registros CAA que controlan quién puede emitir certificados para tu dominio
• Correo: registros SPF, DKIM y DMARC que evitan que tu dominio se use para enviar correos de phishing

La mayoría de los dueños de dominios se enfocan solo en la seguridad de la cuenta y del registro. Esto puede causar una gran pérdida de ingresos y reputación que no se detecta hasta que los clientes empiezan a reportar correos fraudulentos o sitios web falsos, y para entonces ya es demasiado tarde.

2. El costo real de un dominio comprometido

Un nombre de dominio es la identidad central de todo lo que tu empresa hace en línea, y básicamente representa tu marca.

La pérdida de confianza de los clientes es el riesgo más visible para los dueños. Los visitantes que llegan a una versión secuestrada o suplantada de tu sitio, sobre todo si tiene malware, roba credenciales o simplemente muestra el contenido de un competidor, inevitablemente asocian esa experiencia con tu marca. Incluso los buscadores como Google pueden detectar malware o actividad de phishing en tu dominio (avisando a los visitantes con una pantalla de advertencia roja que alerta sobre posibles estafas), lo que puede hacer que el posicionamiento del sitio baje en cuestión de días. Recuperarse de eso puede llevar meses y costos importantes en nuevos materiales y tácticas de marketing.

El gran problema aquí es que los sitios web no siempre son controlados por la empresa real. Puede que el dominio haya sido registrado por una agencia externa o por un miembro del equipo que ya no trabaja en la empresa. Eso hace que el dominio quede, en la práctica, sin gestión, y abre la puerta a renovaciones no realizadas o a información WHOIS que no coincide.

3. Las principales amenazas para tu dominio

El secuestro de dominios es, sin duda, una de las amenazas más graves, cuando alguien compromete la cuenta del registrador con credenciales robadas o mediante phishing. Una vez dentro, puede redirigir el DNS, transferir el dominio a otro registrador o bloquear por completo al dueño legítimo.

Pero otra amenaza puede aparecer incluso antes de que registres. Esto es la ocupación de dominios o ciberocupación, y ocurre cuando alguien registra un dominio que coincide o se parece mucho al nombre de tu marca antes que tú. La intención es vendértelo luego a un precio más alto, desviar tu tráfico o crear un sitio “falso” para dañar tu marca. La typosquatting es una variante, donde el ocupante registra errores de escritura a propósito de tu dominio (gogle.com, amaz0n.com) para captar a visitantes que escriben mal la dirección.

La typosquatting puede llevar a la suplantación del dominio, cuando actores maliciosos envían correos desde una versión parecida a tu dominio. Las víctimas reciben mensajes que las presionan para actuar de inmediato, hacer clic en enlaces y entregar credenciales o información financiera.

Otra forma de ataque activo es el ataque DNS, que redirige el tráfico de tu dominio a otro destino. Esto suele hacerse cambiando los registros DNS (también llamado envenenamiento de caché). Los visitantes que escriben tu URL terminan en otro lugar, sin ninguna advertencia visible. Un atacante incluso puede intentar un secuestro de DNS más directo, usando tu información de registrante para modificar los registros DNS del propio dominio.

Por último, está la forma más simple de ataque por falta de cuidado del dominio: la toma de control de un dominio vencido. Si el registro de un dominio vence, otra persona puede registrarlo, y años de valor de marca, posicionamiento en buscadores e infraestructura de correo pasan a ser de ellos en lugar de la empresa original. Este es uno de los fallos de seguridad de dominios más evitables, y ocurre casi siempre por ignorar las fechas de renovación.

4. Paso 1: Elige un registrador de confianza

No todos los registradores son iguales. La acreditación de ICANN es el estándar básico — un registrador acreditado por ICANN ha aceptado políticas específicas sobre derechos de propiedad del dominio, resolución de disputas y procedimientos de transferencia que protegen a los registrantes. Trabajar con un revendedor no acreditado añade un nivel de incertidumbre que puede complicar las transferencias de propiedad y la resolución de disputas.

También deberías revisar qué opciones y controles ofrece tu registrador. Como mínimo, debe darte acceso directo a todos los registros DNS, ajustes de transferencia, datos WHOIS y funciones de seguridad de la cuenta. Los registradores que limitan la gestión básica de DNS pueden crear problemas cuando necesitas cambios urgentes o cuando estás en riesgo de un ataque.

Una gran señal de alerta es un registrador sin opción de autenticación de dos factores. Pero también conviene evitar los que no tienen soporte al cliente detallado. Un registrador al que no puedes contactar cuando tu dominio está bajo ataque equivale a no tener soporte.

5. Paso 2: Protege tu cuenta del registrador

La autenticación de dos factores (2FA) es la medida de seguridad de cuenta más efectiva disponible. Actívala en tu cuenta y en cada cuenta de correo conectada a ese inicio de sesión. La recuperación por correo es el vector de ataque más común, ya que si un atacante puede restablecer la contraseña de tu registrador mediante una cuenta de correo comprometida, la 2FA solo en el registrador no ayuda.

Usa una contraseña fuerte y única para tu cuenta del registrador — no una reutilizada de otro servicio. Un gestor de contraseñas facilita esto y elimina la tentación de reutilizar credenciales. Si varios miembros del equipo necesitan acceso, revisa si tu registrador permite subcuentas o roles de usuario, en lugar de compartir las credenciales de la cuenta principal.

El correo de recuperación y el acceso de respaldo de la cuenta merecen atención explícita. Si el correo asociado a tu cuenta del registrador queda inaccesible — porque un empleado con información clave dejó la empresa, porque la dirección estaba en un dominio que venció o porque el proveedor de correo fue comprometido — tu capacidad para recuperar el acceso al registro de tu dominio queda en riesgo. Mantén actualizada la información de contacto de recuperación y pruébala periódicamente.

6. Paso 3: Activa la privacidad WHOIS

Cada registro de dominio crea un registro WHOIS público que muestra el nombre del registrante, correo electrónico, teléfono y dirección postal. Por defecto, estos datos son visibles para cualquiera y están a solo una búsqueda WHOIS. Esa exposición te convierte en un objetivo de spam y phishing relacionados con dominios, y también les da a posibles ocupantes o atacantes tu información de contacto directa.

Puedes resolverlo con la privacidad WHOIS (también llamada privacidad de dominio o enmascaramiento), que reemplaza tus datos personales en el registro público por información de proxy del registrador. El registrador aún conserva tus datos reales y puede revelarlos en casos legales. Pero en las búsquedas del día a día, tus datos no se ven.

7. Paso 4: Evita la pérdida por vencimiento

La forma más simple de mantener un dominio activo es activar las renovaciones automáticas justo después del registro y confirmar el método de pago. Además, asegúrate de revisar periódicamente los datos de registro y pago – una de las principales razones por las que una renovación automática puede “fallar” es que tu tarjeta de crédito vence.

Si un dominio vence, normalmente hay un período de gracia de hasta 45 días en el que el registrador lo guarda para que el registrante original lo renueve al precio estándar. Después suele haber un período de redención (normalmente unos 30 días, pero varía según el TLD) en el que puedes recuperar el dominio pagando una tarifa adicional (cerca de 200 USD). Si también se pierde esa ventana, el dominio entra en una fase de eliminación pendiente y queda disponible para registro general, a menudo en cinco días.

Otra opción para reducir el riesgo de vencimiento es registrar el dominio por varios años. La mayoría de los registradores te permiten comprar un dominio por hasta 10 años. Asegúrate de revisar el costo del primer año frente a los años siguientes para obtener la mejor oferta.

8. Paso 5: Bloquea transferencias no autorizadas

El bloqueo del registrador (a veces llamado bloqueo de transferencia o bloqueo de dominio) evita que tu dominio se transfiera a otro registrador sin autorización explícita. Suele ser una opción en el panel de gestión de dominios de tu registrador, y debe estar activada para cualquier dominio que no estés transfiriendo activamente. Por defecto, todos los registros aplican un bloqueo de 60 días cada vez que un dominio se transfiere, para evitar actividad maliciosa.

Cuando se necesita una transferencia legítima, puedes desbloquear el dominio, solicitar a tu registrador actual un código de autorización EPP (también llamado código auth o código de transferencia) y entregar ese código al registrador receptor. Asegúrate de mantener este código en privado y trátalo igual que una contraseña.

Algunos registros también pueden aplicar un bloqueo de registro, que se aplica a nivel del registro y requiere un paso de autenticación aparte (como un contacto acordado previamente entre tú y el registro) para verificar que la persona correcta accede a la cuenta para transferirlo. Esto suele ser un extra premium para mayor seguridad.

9. Paso 6: Reclama dominios similares

Registrar un dominio significa que un ocupante puede reclamar dominios similares que se escriben distinto o usan otra extensión (como tumarca.net, tumarca.co o tمارка.com). A menudo son extensiones de país que se usan de forma habitual en el sector y errores comunes de escritura del nombre de la marca. Luego pueden usarlos para desviar tráfico o afectar la confianza de los clientes.

Comprar varias de estas variantes (llamado registro defensivo de dominios) es más barato que recuperarlas después mediante acciones legales o negociación con un bróker. Los dominios en los que debes enfocarte son .com, .net o .org si es posible, seguidos de extensiones de país donde planeas hacer negocios y luego dominios que suenen parecido a tu primera opción.

Además, puedes configurar redirecciones desde los otros dominios al principal, así que ni siquiera necesitan tener contenido en el que gastes dinero.

El Trademark Clearinghouse te permite configurar una alerta para un nombre de dominio que has registrado como marca, en cuanto queda disponible durante el período Sunrise o Landrush de nuevos dominios.

La herramienta de búsqueda WHOIS en Register.Domains es útil para revisar si los nombres alternativos ya están registrados y por quién, lo que te permite comprarlos en el mercado secundario si hace falta.

10. Paso 7: Detén la suplantación con DNS, SSL y autenticación de correo

DNSSEC (Extensiones de Seguridad del Sistema de Nombres de Dominio) agrega firmas criptográficas a tus registros DNS, lo que permite que los resolutores verifiquen que los registros que reciben no se han alterado en tránsito. Es una protección esencial contra el secuestro y ataques basados en caché. No todos los registradores y proveedores de hosting admiten DNSSEC, pero vale la pena activarlo donde esté disponible.

Los certificados SSL son imprescindibles para cualquier sitio con el que los visitantes interactúan. Un certificado SSL cifra la conexión entre el visitante y el servidor, evita la interceptación de credenciales y evita que los navegadores muestren a los visitantes una alerta preocupante de “No seguro”. Este último punto también es una señal de ranking de Google, ya que los motores de búsqueda priorizan los sitios web con certificados SSL y HTTPS activado.

Además de esto, aquí está lo que usarás:

• SPF (Sender Policy Framework), que es un registro DNS que lista qué servidores de correo están autorizados a enviar emails en nombre de tu dominio. Cuando llega un email que dice ser de tu dominio, los servidores receptores revisan el registro SPF para confirmar que el servidor de envío está en la lista aprobada.
• DKIM (DomainKeys Identified Mail) agrega una firma criptográfica a los emails salientes que los servidores receptores verifican contra una clave pública publicada en tu DNS. Confirma que el email no se ha alterado en tránsito y que realmente se originó de un remitente autorizado.
• DMARC (Domain-based Message Authentication, Reporting and Conformance) es la política que une SPF y DKIM. Le dice a los servidores receptores qué hacer cuando un mensaje falla la autenticación.
• Los registros CAA especifican qué autoridades certificadoras pueden emitir nuevos certificados SSL, lo que evita que alguien agregue un certificado SSL fraudulento de otra CA. Una CA que no esté en el registro simplemente rechazará una solicitud de emisión, incluso si todas las demás comprobaciones de identidad están bien.

11. Paso 8: Supervisa tu dominio

Las medidas de seguridad configuradas al registrar o lanzar el dominio deben supervisarse para asegurarte de que estén al día.

Los nuevos registros de dominios parecidos son quizá lo más importante que debes vigilar. Cuando un ocupante registra un dominio similar después de mucho tiempo sin actividad, puede significar que planea hacer una campaña de phishing o un ataque de desvío de tráfico.

Alguien también puede emitir un nuevo certificado SSL para intentar “suplantar” tu sitio web y redirigir a un clon de phishing. Un registro de Transparencia de Certificados o CT log te permite revisar todos los certificados SSL emitidos y cerrar cualquier certificado fraudulento.

Los cambios de WHOIS en tu propio dominio también son un indicador de actividad no autorizada. Si los datos del registrante, los servidores de nombre o la información del registrador cambian sin que tú lo hayas iniciado, es una brecha en curso. La mayoría de los registradores envían notificaciones por email cuando hay cambios en la cuenta, así que asegúrate de que esas notificaciones lleguen a una dirección que se revise de forma activa.

Puedes usar herramientas automáticas para recibir alertas sobre dominios parecidos, cambios de WHOIS, cambios en registros DNS, nuevos certificados e incluso cuando tu dominio vence, para poder renovarlo a tiempo.

12. Lista de verificación de seguridad del dominio antes de lanzar

Usa esto como referencia al configurar un dominio nuevo o auditar uno existente. Cada elemento corresponde a una de las cuatro capas de seguridad.

Si estás registrando un dominio nuevo y quieres empezar este proceso desde cero, nuestra guía de registro de dominios cubre todo el proceso de configuración, y la herramienta de búsqueda de dominios en Register.Domains te permite comprobar disponibilidad y revisar precios del primer año y de renovación antes de decidirte.

13. Preguntas frecuentes