Proteger su nombre de dominio

Módulo 4: Correo electrónico, sitio web y dominio · Tiempo de lectura: 11 minutos

Objetivo de aprendizaje: Después de esta lección podrá proteger su nombre de dominio frente a la caducidad, el secuestro y los registros DNS incorrectos, y comprobar el estado, la fecha de expiración, DNSSEC y CAA de su propio dominio.
Conceptos clave: registrador, titular, caducidad, cuarentena, código de transferencia, registrar-lock, registry lock, 2FA en el registrador, DNSSEC, CAA, registro huérfano (dangling DNS), secuestro de subdominio

Quien tiene su dominio, tiene su correo

Su nombre de dominio parece un elemento pequeño: una factura anual y unos cuantos ajustes. Pero casi todo depende de él. Su sitio web, sus direcciones de correo y, con ello, también el botón "olvidé mi contraseña" de todas sus demás cuentas: su programa de contabilidad, su banco, su plataforma de tienda online, sus redes sociales. Quien obtenga el control de example.com puede recibir el correo de info@example.com y, con eso, restablecer su contraseña en cualquier sitio.

Un dominio se puede perder o usar de forma indebida de tres maneras:

1. caduca y otra persona lo registra;
2. alguien lo secuestra a través de su cuenta en el registrador o mediante una transferencia falsificada;
3. un registro DNS olvidado apunta a algo que usted ya no controla.

En el curso de DNS (lección 1.3) aprendió quién gestiona qué: el registro (registry) administra la extensión (SIDN para .nl), el registrador (registrar) registra en su nombre, y usted es el titular. En esta lección analizamos esa cadena con la mirada de un atacante.

¿Es correcto el titular?

El titular es el propietario legal. Si ahí figura su diseñador web, un antiguo empleado o una empresa que ya no existe, en caso de conflicto o quiebra le resultará difícil demostrar que el dominio es suyo. Compruebe por tanto:

• ¿figura su empresa como titular, con el nombre correcto?
• ¿es accesible la dirección de correo electrónico del titular, y no está en el propio dominio? Si example.com caduca, es posible que el aviso a info@example.com ya no llegue. Utilice una segunda dirección, por ejemplo en otro dominio.
• ¿responde usted a las solicitudes reales de confirmación de su dirección? Para muchas extensiones, ICANN exige que se confirme la dirección de correo del titular. Si no lo hace, el dominio puede quedar suspendido.

Caducidad: el riesgo más aburrido y más frecuente

Los dominios se pierden sobre todo por una tarjeta de crédito caducada, una factura que llegó a un compañero que ya no trabaja en la empresa, o un cambio de proveedor en el que nadie pensó en el dominio. Lo que ocurre después varía según la extensión:

Después de eso, cualquier otra persona puede registrarlo. Existen empresas que registran automáticamente los dominios que quedan libres, precisamente porque aún reciben tráfico. Si el nuevo propietario configura un catch-all en el correo, recibirá todo lo que sus clientes y proveedores sigan enviando a sus antiguas direcciones, incluidos los correos de recuperación de contraseña.

Protección:

• active la renovación automática y mantenga actualizados los datos de pago;
• registre todos sus dominios en una lista, incluidos los que tiene "solo por si acaso";
• no cancele sin más un dominio antiguo que usó alguna vez para el correo. Consérvelo y protéjalo como dominio que no envía correo (lección 4.1).

Secuestro: su cuenta en el registrador y el código de transferencia

El camino más rápido hacia un dominio pasa por la cuenta en su registrador. Quien inicia sesión ahí puede cambiar los servidores de nombres y con ello redirigir de golpe su sitio web y su correo. Trate por tanto esa cuenta como una de las más importantes:

• verificación en dos pasos (2FA) activada (módulo 2);
• solo personas con cuenta propia y los permisos que necesitan (lección 7.1). Su diseñador web debería recibir preferentemente acceso al DNS, no a toda la cuenta;
• esté atento al phishing relacionado con su dominio. "Su dominio caduca hoy, pague aquí" o "confirme sus datos en ICANN" es un truco conocido. No acceda nunca a través del enlace, sino inicie sesión usted mismo en su registrador.

Un código de transferencia (también código de autorización, código EPP o token) es necesario para trasladar un dominio a otro registrador. Trátelo como una llave: solicítelo solo cuando usted mismo vaya a trasladar el dominio, compártalo únicamente con el nuevo registrador, y esté inmediatamente alerta si recibe una confirmación de traslado que no esperaba.

Además existen los bloqueos:

• Un registrar-lock establece el estado clientTransferProhibited (a menudo junto con clientDeleteProhibited y clientUpdateProhibited). El registro entonces rechaza un traslado hasta que usted o su registrador retiren el bloqueo. En .com y extensiones similares esto es habitual; ICANN lo recomienda.
• Un registry lock va más allá: los cambios solo se aplican en el propio registro tras una verificación manual adicional con el titular. Para .nl este servicio se llama .nl Control. Está pensado sobre todo para grandes marcas y tiene un coste adicional; para la mayoría de las pequeñas empresas, con 2FA y una cuenta en el registrador bien gestionada es suficiente.

Registros huérfanos y secuestro de subdominio

Este es el riesgo menos conocido y el más engañoso. Un ejemplo práctico (anonimizado):

La panadería Example tuvo entre 2021 y 2024 una tienda online en winkel.example.com, con un registro CNAME hacia bakkerij-example.webwinkelplatform.example, y en 2024 la panadería cambió de plataforma y canceló la suscripción. El registro CNAME se quedó ahí. Un año después, otra persona creó en la misma plataforma una tienda con el nombre que había quedado libre, bakkerij-example. A partir de ese momento, winkel.example.com mostraba una tienda falsa, con un certificado válido y bajo el nombre de la panadería.

Un registro huérfano (dangling DNS) es un registro DNS que apunta a algo que usted ya no controla: un servicio cancelado, un servidor en la nube eliminado, una dirección IP que entretanto se ha asignado a otra persona. Si otra persona puede reclamar ese destino, se denomina secuestro de subdominio (subdomain takeover). El atacante obtiene un subdominio suyo y puede usarlo para alojar páginas de phishing que parecen completamente auténticas, a veces incluso leyendo cookies de su dominio principal.

Protección:

1. Al cancelar un servicio, primero retire el registro DNS, y después cancele el servicio. Incorpore esto a su procedimiento de baja de servicios.
2. Revise toda su zona DNS una vez al año. Si no sabe para qué sirve un registro, averígüelo. Antes de eliminar algo, haga una copia de seguridad de la zona.
3. Sea especialmente cuidadoso con los comodines (*.example.com) que apunten a un servicio externo.

DNSSEC y CAA: cerraduras adicionales

DNSSEC añade una firma digital a las respuestas de su DNS, de modo que un resolutor pueda comprobar que son auténticas y no han sido falsificadas por el camino. Para .nl está activado por defecto en muchos proveedores. Protege contra respuestas DNS falsificadas, no contra una cuenta de registrador tomada. Hay una explicación en lenguaje sencillo en la lección 8.1 del curso de DNS.

CAA es un registro DNS en el que indica qué autoridades de certificación pueden emitir un certificado para su dominio (RFC 8659). Sin CAA, cualquier emisor de confianza puede hacerlo. Con CAA, dificulta que un atacante obtenga en otro sitio un certificado para su nombre. Si configura CAA, incluya el emisor que utiliza su proveedor de alojamiento, de lo contrario su propio certificado ya no podrá renovarse. Más información en la lección 5.2 del curso de DNS.

En la práctica: así se ve

El estado y la fecha de caducidad de su dominio se ven en los datos de registro públicos (RDAP, el sucesor de whois). Un dominio .com, por ejemplo, muestra:

Estado:      client delete prohibited, client transfer prohibited, client update prohibited
Registro:    2019-03-01
Caduca:      2027-03-01
DNSSEC:      sí

No todos los registros muestran una fecha de caducidad: SIDN no la muestra para .nl en RDAP. En ese caso, consulte a su registrador. En WebOké, la caducidad, la renovación automática, la cuarentena, DNSSEC y CAA aparecen juntos en la tarjeta Dominio / Email gezondheid de la página del dominio en Mi WebOké, y en los ajustes de DNS hay un botón para hacer una copia de seguridad de su zona. En otros proveedores funciona de forma similar.

Resumen

• Quien controla su dominio recibe su correo y con ello puede restablecer su contraseña en cualquier sitio.
• Mantenga correctos los datos del titular, use una dirección de titular fuera del propio dominio y active la renovación automática.
• Proteja su cuenta de registrador con 2FA y cuentas propias; trate el código de transferencia como una llave; un registrar-lock bloquea los traslados no deseados.
• Al cancelar un servicio, retire primero el registro DNS; revise su zona anualmente para detectar registros huérfanos.
• DNSSEC protege contra respuestas DNS falsificadas, CAA limita quién puede emitir certificados para su dominio.

Cuestionario

Ejercicio

Ejercicio A4.3: Comprobar la protección de su dominio. Introduzca su propio nombre de dominio (si no tiene ninguno, use sidn.nl). El programa obtiene el estado y la fecha de caducidad del registro (RDAP) y comprueba DNSSEC y CAA. Recibirá verde, naranja o rojo por cada punto, o un aviso informativo.

Ejercicio D4.3: Lista de dominios y control de la zona. Elabore una lista de todos sus dominios con registrador, titular, caducidad y quién tiene acceso. Después, revise la zona DNS de su dominio principal y averigüe para qué sirve cada registro.

Para saber más

Los pasos de los artículos de WebOké son válidos para el entorno de WebOké; en otros proveedores funciona de forma similar.

• Correos de ICANN o del registro sobre su dominio: ¿reales o falsos, y qué debe hacer?
• Manual de WebOké 5.17: Salud del dominio y el correo: comprobar y solucionar
• Hacer y restaurar una copia de seguridad de su DNS
• Estado público del dominio: https://www.weboke.es/salud-del-dominio
• Curso de DNS, lecciones 1.3 (registro, registrador y titular), 5.2 (CAA) y 8.1 (DNSSEC): https://www.weboke.es/dns-cursus
• ICANN, códigos de estado EPP explicados (en inglés): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, cancelación de su nombre de dominio y cuarentena: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, secuestro de subdominios (en inglés): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers