Cómo proteger tu dominio frente al secuestro
Autor: Redacción Domeny.ForSale Publicado Actualizado
En resumen: Las principales medidas para proteger un dominio son una autenticación robusta en la cuenta del registrador, el bloqueo de transferencias, el control de los datos del titular y una renovación asegurada. También hay que proteger el buzón de correo utilizado para recuperar el acceso, ya que su secuestro puede permitir cambios en la configuración del dominio. En una empresa, el acceso debe estar bajo el control de la organización, no exclusivamente de un empleado o una agencia externa.
Qué pueden secuestrar exactamente
El dominio lo gestiona un registrador, es decir, una empresa que permite registrar el nombre, renovarlo y cambiar su configuración. El secuestro de un dominio puede consistir en una transferencia no autorizada a otro proveedor, un cambio de titular o la sustitución de los servidores DNS para dirigir a los usuarios al sitio web y al correo del atacante.
No todos los problemas de una web indican que el dominio haya sido secuestrado. Un fallo del alojamiento, un certificado incorrecto o una infección del CMS pueden dejar el sitio fuera de servicio aunque los datos del dominio no hayan cambiado. Por eso, al diagnosticar el problema, hay que comprobar por separado la cuenta del registrador, la configuración DNS, el alojamiento y el correo.
Protege la cuenta del registrador y el correo asociado
Activa la autenticación multifactor, conocida como MFA o 2FA. Además de la contraseña, exige una confirmación adicional, como un código de una aplicación de autenticación o una llave de seguridad física. Si el registrador ofrece varios métodos, la aplicación o la llave física suelen ser opciones más seguras que un código por SMS, aunque cualquier capa adicional es mejor que usar solo una contraseña.
Establece una contraseña larga y única y guárdala en un gestor de contraseñas. No utilices la misma contraseña para el registrador, el alojamiento y el correo. Guarda los códigos de recuperación de MFA en un lugar al que no se pueda acceder desde la cuenta que estás protegiendo.
La dirección de correo utilizada para restablecer la contraseña necesita una protección especial. Debe tener su propio MFA y métodos de recuperación actualizados. Conviene que no sea un buzón que funcione exclusivamente en el dominio protegido: un fallo en su DNS podría dificultar la recuperación de la cuenta.
Ejemplo: una empresa utiliza la dirección admin (at) empresa.pl para recuperar el acceso al dominio empresa.pl. Tras un cambio incorrecto en DNS, el correo deja de funcionar y los mensajes de recuperación no llegan. Una dirección administrativa independiente, debidamente protegida y bajo el control de la empresa, reduce este problema.
Activa los bloqueos y protege los datos necesarios para transferir el dominio
El bloqueo de transferencias dificulta el traslado del dominio a otro registrador sin desbloquearlo antes. El nombre de esta función depende del proveedor y de la extensión; puede aparecer como transfer lock, registrar lock o bloqueo de operaciones. Comprueba en el panel qué cambios bloquea exactamente.
El código de autorización utilizado para la transferencia, a menudo denominado AuthInfo o AuthCode, debe tratarse como una contraseña. No debe incluirse en correspondencia ordinaria, documentos compartidos públicamente ni sistemas de incidencias a los que tengan acceso muchas personas. Una vez completada la transferencia, conviene comprobar si el proveedor permite generar un código nuevo.
Para dominios de gran valor para el negocio, se puede considerar un bloqueo ampliado de cambios, que a veces se ofrece como registry lock. Para desactivarlo se requiere una verificación adicional, a menudo manual. Su disponibilidad, el alcance de la protección, el procedimiento de emergencia y el precio dependen del registrador y del registro de la extensión correspondiente, por lo que hay que confirmarlos directamente con el proveedor.
Controla la renovación, DNS y las notificaciones
La pérdida de un dominio no siempre se debe a un ataque. Puede deberse a la falta de renovación, una tarjeta de pago desactualizada o mensajes enviados a una dirección que ya no se utiliza. Activa la renovación automática, pero no dependas únicamente de ella: controla la fecha de caducidad y configura un recordatorio independiente con suficiente antelación.
Activa las notificaciones de inicio de sesión, cambios de contraseña, de datos del titular o de servidores DNS, e intentos de transferencia, si el proveedor las ofrece. Cuando recibas una alerta, comprueba lo ocurrido entrando por tu cuenta en el panel, no mediante el enlace del mensaje. Los avisos falsos de renovación de dominios son un recurso habitual del phishing.
DNSSEC permite al destinatario verificar la autenticidad de las respuestas DNS y reduce el riesgo de que se falsifiquen durante su transmisión. Sin embargo, no protege la cuenta del registrador frente al robo de contraseñas ni evita que el dominio caduque. Su implementación requiere una configuración correcta tanto en el proveedor de DNS como en el registrador; los registros incorrectos pueden dejar los servicios inaccesibles.
Organiza la titularidad y los accesos en la empresa
Los datos del titular deben identificar a la persona u organización correspondiente, de acuerdo con las normas del registro. Una empresa no debe dejar un dominio esencial en la cuenta privada de un empleado, socio o proveedor externo. Los requisitos vigentes sobre los datos y los procedimientos de cambio de titular deben consultarse con el registrador correspondiente a la extensión concreta.
Limita el número de administradores y retira el acceso de inmediato cuando cambien sus funciones o termine la colaboración. Una vez por trimestre se puede hacer una revisión breve: comprobar los administradores, MFA, la dirección de recuperación, el bloqueo de transferencias, la fecha de renovación, los servidores DNS y las últimas operaciones.
Qué hacer si detectas un cambio sospechoso
Primero, utiliza un dispositivo de confianza, cambia las contraseñas del correo y del registrador e invalida las sesiones activas. Después, contacta con el registrador a través de su canal oficial de emergencias y solicita que bloquee las operaciones y conserve el historial de cambios. Conserva los mensajes, las alertas, los números de incidencia y las capturas de pantalla, sin modificar innecesariamente las evidencias de lo ocurrido.
Si se ha modificado DNS, guarda los valores actuales para su análisis antes de restaurar la configuración. Tras recuperar el control, comprueba también el correo, los certificados, las redirecciones y las cuentas de servicios cuyas contraseñas puedan restablecerse mediante direcciones de ese dominio.
El siguiente paso práctico es entrar hoy en el panel del registrador y comprobar cuatro elementos: MFA, el bloqueo de transferencias, la dirección de recuperación y la fecha de renovación.
Consulta también: DNSSEC: ¿merece la pena añadir protección al dominio?
Lee también
