Un dominio sin proteger es un dominio que espera a que surja un problema. Cada año, hay marcas que pierden el acceso a sus dominios por ataques que se habrían evitado con unos pocos ajustes sencillos. El daño va más allá de perder una dirección web. Cuando alguien toma el control de tu dominio, controla tu web, tu correo, tu posicionamiento en buscadores y la confianza que tus visitantes tienen en tu nombre. La seguridad de dominio no es una herramienta ni un ajuste. Es una combinación de protecciones que trabajan juntas para que tu dominio sea difícil de comprometer.
¿Qué cubre la seguridad de dominio?
La seguridad de dominio es todo lo que protege un dominio del acceso no autorizado, de la transferencia no autorizada y de los cambios no autorizados. Cubre tres áreas.
La primera es la seguridad de la cuenta. Se trata de proteger tu cuenta del registrador para que nadie más pueda iniciar sesión y hacer cambios. Incluye contraseñas seguras, autenticación en dos pasos y mantener bien protegido tu correo de contacto.
La segunda es la protección contra transferencias. Impide que alguien mueva tu dominio a otro registrador sin tu permiso. El bloqueo del registrador y los códigos de autorización son las herramientas principales.
La tercera es la protección del DNS. Tus registros DNS le dicen a internet dónde vive tu web y adónde va tu correo. Si alguien cambia esos registros, puede redirigir tu tráfico sin llegar a transferir el dominio.
La mayoría de los fallos de seguridad de dominio vienen de dejar abierta una de estas tres áreas. Proteger las tres es lo que hace falta para mantener tu dominio a salvo.
¿Cuáles son las mayores amenazas para tu dominio?
Las amenazas a los dominios se dividen en varias categorías. Cada una apunta a una debilidad distinta y requiere una defensa distinta.
Secuestro de dominio
El secuestro es cuando alguien transfiere tu dominio a otro registrador o cambia la titularidad a su propia cuenta. Cuando la transferencia se completa, pierdes la capacidad de gestionar el dominio, renovarlo o apuntarlo a ningún sitio. La recuperación es lenta y no siempre tiene éxito. Para ver con detalle cómo funciona el secuestro y cómo prevenirlo, el capítulo sobre cómo proteger tu dominio del secuestro explica cada paso.
Captura de dominios caducados
Cuando el registro de un dominio caduca, entra en un periodo de gracia y al final queda disponible para que cualquiera lo registre. Los atacantes y los especuladores de dominios vigilan activamente los dominios a punto de caducar, sobre todo los que tienen tráfico y enlaces entrantes consolidados. En cuanto un dominio queda libre, lo registran. En ese punto, recuperarlo significa negociar con quien lo haya cogido. El capítulo sobre la caducidad del dominio explica cada fase del calendario de caducidad y qué pasa en cada etapa.
Ataques de phishing a cuentas de registradores
Es una de las puertas de entrada más comunes. Un atacante envía un correo que parece de tu registrador. Avisa de que tu dominio está a punto de caducar, de que se detectó un inicio de sesión sospechoso o de que tu cuenta necesita verificación. El enlace lleva a una página de inicio de sesión falsa. Si introduces tus credenciales, el atacante ya tiene tu usuario y tu contraseña y puede entrar en tu cuenta real.
La defensa es simple pero exige disciplina. Nunca hagas clic en enlaces de inicio de sesión de los correos. Entra siempre directamente en la web de tu registrador desde tu navegador.
Manipulación del DNS
La manipulación del DNS cambia adónde apunta tu dominio sin cambiar quién es su dueño. Un atacante que consiga acceso a tu cuenta del registrador o a tu proveedor de DNS puede alterar tus registros A, tus registros MX o tus servidores de nombres. El tráfico de tu web se envía a otro servidor. Tu correo se enruta a un buzón que no controlas. Los visitantes ven una página que se parece a la tuya pero no lo es.
Lo difícil es que la manipulación del DNS puede pasar desapercibida durante horas o días si no vigilas tus registros DNS. Para cuando te des cuenta, el atacante puede haber interceptado datos de clientes, capturado credenciales de acceso o dañado tu reputación.
Ingeniería social
Algunos atacantes se saltan por completo el enfoque técnico. Llaman al soporte de tu registrador, se hacen pasar por ti y piden restablecer las credenciales de la cuenta. Si tus datos WHOIS son visibles públicamente, ya tienen tu nombre, correo, teléfono y dirección para que su historia resulte convincente. Con suficientes datos personales, pueden pasar verificaciones de identidad que se diseñaron para protegerte.
¿Cómo proteges tu dominio con el bloqueo del registrador?
El bloqueo del registrador, a veces llamado bloqueo de transferencia, es un ajuste de estado que impide que tu dominio se transfiera a otro registrador. Con el bloqueo activado, cualquier solicitud de transferencia se rechaza automáticamente. Es la protección más eficaz contra las transferencias no autorizadas.
La mayoría de los registradores ofrecen esta función gratis. Algunos la dejan desactivada por defecto, lo que significa que tienes que iniciar sesión y activarla tú. Solo debes desactivarla cuando estés transfiriendo activamente el dominio a un nuevo registrador, y debes volver a activarla justo después.
El siguiente capítulo explica con todo detalle el bloqueo de dominio, incluidos los distintos tipos de bloqueo y cuándo se aplica cada uno.
¿Por qué importa la autenticación en dos pasos en los dominios?
La autenticación en dos pasos (2FA) añade un segundo paso de verificación al iniciar sesión en tu cuenta del registrador. Aunque un atacante te robe la contraseña mediante phishing o una filtración de datos, no puede entrar sin controlar también tu segundo factor.
Usa una app de autenticación en lugar de la verificación por SMS. Los códigos SMS pueden interceptarse con ataques de duplicación de SIM, en los que alguien convence a tu operador móvil de transferir tu número de teléfono a un dispositivo que controla. Una app de autenticación es más difícil de comprometer.
Activa la 2FA en tu cuenta del registrador y en la dirección de correo asociada a esa cuenta. Si cualquiera de las dos está sin proteger, un atacante puede usarla como vía de entrada.
¿Cómo protege tu dominio una contraseña segura?
La contraseña de tu cuenta del registrador es la primera barrera entre un atacante y tu dominio. Si es corta, común o reutilizada de otro servicio, esa barrera prácticamente no existe.
Los atacantes usan herramientas automáticas que prueban en las páginas de inicio de sesión de los registradores combinaciones de usuario y contraseña filtradas en otras brechas de datos. Si usaste la misma contraseña en un foro que fue comprometido hace tres años, tu cuenta del registrador está en riesgo hoy.
Usa un gestor de contraseñas para generar una contraseña aleatoria de al menos 16 caracteres. Guárdala en el gestor de contraseñas. No la anotes, no la reutilices y no uses una variación de una contraseña que uses en otro sitio.
¿Qué papel tiene la privacidad WHOIS en la seguridad del dominio?
La privacidad WHOIS sustituye tus datos personales de registro en la base de datos pública WHOIS por información de intermediario de tu registrador. Tu nombre real, correo, teléfono y dirección quedan ocultos para cualquiera que haga una consulta pública.
Esto importa para la seguridad porque cada dato personal que un atacante puede encontrar facilita la ingeniería social. Si conocen tu nombre, tu correo y tu dirección, hacerse pasar por ti resulta sencillo. La privacidad WHOIS quita esos datos de la vista pública. El capítulo sobre la privacidad de dominio explica cómo funciona y quién debería tenerla activada.
¿Deberías activar la renovación automática?
Sí. La renovación automática evita que tu dominio caduque porque olvidaste la fecha de renovación o porque un correo de renovación acabó en la carpeta de spam. Un dominio caducado es un objetivo fácil. Los atacantes vigilan las bases de datos de caducidad y registran dominios valiosos en cuanto quedan disponibles.
Activa la renovación automática en cada dominio que tengas. Después, comprueba que tu método de pago registrado esté al día. Un pago fallido deja inútil la renovación automática. Pon un recordatorio en el calendario 60 días antes de la caducidad como respaldo. Si la renovación automática falla por cualquier motivo, tienes tiempo de arreglarlo antes de que el dominio quede libre.
¿Cómo eliges un registrador que se tome en serio la seguridad?
No todos los registradores ofrecen el mismo nivel de protección. Antes de elegir uno, comprueba si admite 2FA, si ofrece bloqueo del registrador, si la privacidad WHOIS está incluida y cómo gestiona su equipo de soporte las solicitudes de recuperación de cuenta.
Un registrador que verifica a fondo la identidad antes de hacer cambios en una cuenta es más seguro que uno que procesa las solicitudes rápido y con pocas comprobaciones. La comodidad de un soporte rápido se convierte en una vulnerabilidad cuando quien llama es un atacante.
Busca registradores que ofrezcan todas las funciones de seguridad dentro del registro estándar, no como complementos de pago que tengas que acordarte de activar.
¿Cómo debería ser tu lista de seguridad del dominio?
Repasa esta lista con cada dominio que tengas. Si algún punto no está marcado, corrígelo ya.
- El bloqueo del registrador está activado
- La autenticación en dos pasos está activada en tu cuenta del registrador
- La autenticación en dos pasos está activada en el correo asociado a tu cuenta del registrador
- La contraseña de tu registrador es única, aleatoria y de al menos 16 caracteres
- La contraseña del correo de tu registrador es única y está protegida con 2FA
- La privacidad WHOIS está activada
- La renovación automática está activada
- Tu método de pago registrado está al día y no caducará antes de tu próxima renovación
- Has confirmado que el proceso de recuperación de cuenta de tu registrador exige una verificación de identidad sólida
- Revisas tus registros DNS periódicamente para confirmar que nada ha cambiado
Cada punto de esta lista responde a una amenaza concreta. El bloqueo del registrador frena las transferencias no autorizadas. La 2FA hace inútiles las contraseñas robadas. La privacidad WHOIS quita la materia prima de la ingeniería social. La renovación automática evita los ataques basados en la caducidad. Juntos forman una configuración completa de seguridad del dominio.
¿Cómo protege WEMASY tu dominio?
Los dominios registrados con WEMASY incluyen el bloqueo de transferencia activado por defecto, la privacidad WHOIS sin coste extra y la renovación automática activada desde el momento del registro. Tu cuenta de WEMASY admite autenticación en dos pasos, así que gestionar tu dominio requiere tu contraseña y tu segundo factor.
Los recordatorios de renovación se envían 90, 60 y 30 días antes de la caducidad. Los ajustes DNS se gestionan desde la misma cuenta que tu web, así que hay un único lugar que vigilar y un único conjunto de credenciales que proteger.
Consulta qué incluye cada plan en los precios de WEMASY.
Preguntas frecuentes
¿Pueden robarme el dominio si tengo todos los ajustes de seguridad activados?
Ninguna configuración de seguridad es completamente infranqueable, pero tener activados a la vez el bloqueo del registrador, la 2FA, una contraseña segura y única y la privacidad WHOIS hace extremadamente improbable un ataque con éxito. Cada capa bloquea un método de ataque distinto. Un atacante tendría que saltarse todas simultáneamente, lo que supone mucho más esfuerzo que ir a por un dominio con protección más débil. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Cada cuánto debo revisar los ajustes de seguridad de mi dominio?
Al menos una vez cada tres meses. Inicia sesión en tu cuenta del registrador, confirma que el bloqueo del registrador sigue activado, verifica que tu correo de contacto sigue siendo accesible, comprueba que la renovación automática está activa y revisa tus registros DNS por si hay cambios que no hiciste tú. Si tu registrador envía correos de notificación, asegúrate de que lleguen a un buzón que revises de verdad.
¿Es distinta la seguridad de dominio de la seguridad de la web?
Sí. La seguridad de dominio protege el propio dominio, incluido quién es su dueño, adónde apunta y quién puede transferirlo. La seguridad de la web protege el contenido, el código y los datos del servidor al que apunta tu dominio. Necesitas ambas. Una web perfectamente protegida sigue siendo vulnerable si alguien toma el control del dominio y desvía el tráfico lejos de ella.
¿Cuenta un certificado SSL como seguridad de dominio?
Un certificado SSL cifra la conexión entre el navegador del visitante y tu servidor. Protege los datos en tránsito, pero no protege quién es el dueño o quién controla el dominio. Si un atacante transfiere tu dominio a su propia cuenta, puede emitir un nuevo certificado SSL para él. El SSL forma parte de la seguridad general de la web, no de la seguridad del dominio en concreto.
¿Qué debo hacer primero si creo que mi dominio ha sido comprometido?
Cambia de inmediato la contraseña de tu cuenta del registrador y activa la 2FA si aún no lo está. Después revisa tus registros DNS por si hay cambios no autorizados. Contacta con el soporte de tu registrador e informa del posible compromiso. Si se ha iniciado una transferencia, pídeles que la congelen. Documenta todo con capturas de pantalla por si hay un proceso de disputa después.
El siguiente capítulo trata el bloqueo de dominio, incluidos los distintos tipos de bloqueo, cómo funcionan y cuándo debes usar cada uno.