Guía completa sobre bloqueos de transferencia de dominios

El secuestro de dominios rara vez parece un ataque de película. Lo habitual es que alguien consiga acceso a una cuenta del registrador o a un buzón de correo, solicite una transferencia y traslade el dominio a un registrador que controla. A partir de ahí controla tu web, tu correo y cualquier servicio que verifique la propiedad mediante DNS. Los bloqueos de transferencia son la principal barrera técnica contra esto. En esta guía explicamos los distintos tipos de bloqueo, cómo encajan con las reglas de transferencia de ICANN y cómo mover un dominio de forma segura cuando de verdad quieres hacerlo.

Qué es un bloqueo de transferencia

Cada dominio registrado en un registro moderno lleva códigos de estado definidos por el protocolo EPP (Extensible Provisioning Protocol). Estos códigos indican al registro qué operaciones están permitidas. Un bloqueo de transferencia es simplemente un estado que ordena al registro rechazar las solicitudes de traslado a otro registrador. Puedes ver los estados actuales de un dominio en una consulta WHOIS o RDAP, donde aparecen como líneas del tipo clientTransferProhibited, normalmente con un enlace a una explicación de ICANN.

Los estados se dividen en dos familias. Los que empiezan por client los establece el registrador, muchas veces a petición tuya desde el panel. Los que empiezan por server los fija el propio registro y prevalecen sobre lo que pueda hacer el registrador.

Bloqueo del registrador frente a registry lock

Ambos términos se usan a menudo como sinónimos, pero ofrecen niveles de protección muy distintos.

Bloqueo del registrador

El bloqueo del registrador, también llamado protección antirrobo o domain lock, activa clientTransferProhibited y en muchos registradores también clientUpdateProhibited y clientDeleteProhibited. Es gratuito, suele venir activado por defecto y se puede desactivar con un clic en tu cuenta. Esa comodidad es también su punto débil: quien entre en la cuenta puede desactivarlo igual de fácil.

Registry lock (bloqueo en el registro)

El registry lock establece los estados de servidor serverTransferProhibited, serverUpdateProhibited y serverDeleteProhibited. Una vez aplicado, el registrador no puede cambiar por sí solo los servidores de nombres, los contactos ni el registrador. Para desbloquearlo, el registrador debe pedirlo al registro y la solicitud se confirma por un canal externo, como una llamada a contactos autorizados previamente o una petición firmada. Muchas extensiones importantes lo ofrecen a través de registradores participantes, normalmente como servicio de pago.

El registry lock también bloquea los cambios de servidores de nombres, y eso importa: un atacante no necesita transferir el dominio para secuestrarlo. Le basta con cambiar el DNS dentro de tu propia cuenta para desviar el tráfico e interceptar el correo.

El código de autorización EPP

Además del desbloqueo, una transferencia de gTLD exige un código de autorización, conocido también como código EPP, auth code o Transfer Authorization Code. Funciona como una contraseña específica de ese dominio. El registrador de destino lo envía al registro junto con la solicitud y el registro lo compara con el valor almacenado.

• Trátalo como una contraseña: no lo pegues en tickets, chats ni documentos compartidos.
• Pídelo solo cuando vayas a transferir y hazlo sin demora.
• Si sospechas que se ha filtrado, solicita al registrador uno nuevo.

Algunos registros de código de país usan procedimientos distintos, como un token emitido por el registro o un cambio de etiqueta, de modo que los pasos varían según la extensión.

Reglas de ICANN y las restricciones de 60 días

Para los gTLD, la política de transferencias de ICANN fija el marco que siguen los registradores. Los puntos con los que más se topan los titulares son:

• Tras el registro o una transferencia: por lo general, un dominio no puede pasar a otro registrador durante los 60 días siguientes a su registro inicial o a una transferencia anterior entre registradores.
• Tras un cambio de titular: un cambio sustancial del nombre, la organización o el correo del titular puede activar un bloqueo de transferencia de 60 días. Muchos registradores permiten renunciar a él antes de hacer el cambio, pero hay que elegirlo en ese momento.
• Respuesta del registrador saliente: una vez solicitada la transferencia, el registrador actual dispone de un plazo corto, normalmente cinco días, para rechazarla por motivos tasados. Si no hace nada, la transferencia se completa sola.
• Renovación incluida: una transferencia de gTLD suele añadir un año al registro y conserva el tiempo restante, dentro del máximo de diez años.

ICANN está revisando la política de transferencias, incluido el funcionamiento de estos bloqueos y avisos, así que consulta las condiciones actuales de tu registrador antes de un traslado. También pueden rechazarse dominios en periodo de redención, en disputa legal o con saldos pendientes.

Cómo transferir un dominio con seguridad, paso a paso

1. Revisa la fecha de expiración. No inicies la transferencia en los últimos días antes del vencimiento; renueva primero o transfiere con antelación.
2. Confirma tus contactos. Asegúrate de que el correo del titular funciona, porque allí llegan confirmaciones y avisos.
3. Guarda tu DNS. Exporta todos los registros. Algunos registradores dejan de servir el DNS del dominio que se marcha, así que pasa antes a un DNS externo o recrea la zona en el nuevo proveedor.
4. Quita el bloqueo. Desactiva el bloqueo del registrador. Si hay registry lock, pide al registrador que inicie el desbloqueo.
5. Obtén el código de autorización e inicia la transferencia en el registrador de destino.
6. Aprueba los correos de confirmación que lleguen de cualquiera de los dos registradores.
7. Verifica el resultado. Consulta el dominio y confirma el nuevo registrador, los servidores de nombres y los estados.
8. Vuelve a bloquear de inmediato. Activa el bloqueo en el nuevo registrador y solicita de nuevo el registry lock si lo usas.

Cómo comprobar el estado de bloqueo

Que el panel del registrador diga "bloqueado" es un buen comienzo, pero la prueba real son los códigos de estado que publica el registro:

1. Consulta el dominio en una herramienta WHOIS o RDAP y localiza el campo "Domain Status".
2. Si aparece clientTransferProhibited, el bloqueo del registrador está activo.
3. Si aparecen juntos serverTransferProhibited, serverUpdateProhibited y serverDeleteProhibited, lo más probable es que haya un registry lock.
4. Si solo ves ok o active, el dominio no tiene ningún bloqueo y acepta solicitudes de transferencia.
5. Si ves pendingTransfer y no has iniciado ninguna, contacta con tu registrador cuanto antes.

Señales de alarma

• un correo inesperado sobre una solicitud de transferencia, de código de autorización o un cambio de contacto;
• servidores de nombres o registrador modificados sin que nadie lo haya pedido;
• un restablecimiento de contraseña o un cambio de verificación en dos pasos que no hiciste.

Ante cualquiera de ellas, contacta con el registrador, vuelve a bloquear, cambia las credenciales y pide que se rechace la transferencia pendiente. La rapidez importa, porque una transferencia sin respuesta puede completarse sola.

Mitos frecuentes sobre los bloqueos

• "Bloqueado equivale a seguro." El bloqueo del registrador frena transferencias, pero no los cambios de DNS desde una cuenta comprometida ni la expiración del dominio.
• "La privacidad WHOIS es lo mismo que un bloqueo." La privacidad oculta los datos de contacto; no afecta a los estados de transferencia o actualización.
• "Todas las extensiones funcionan igual." Muchos ccTLD tienen sus propios procedimientos, opciones de bloqueo y plazos, y algunos ni siquiera usan códigos de autorización.
• "El registry lock es solo para grandes empresas." Cualquier organización cuyos ingresos o correo dependan de un dominio puede justificarlo.

El bloqueo es solo una capa de seguridad

Un bloqueo es tan fuerte como la cuenta que lo respalda. Protege las cuentas del registrador con verificación en dos pasos, preferiblemente con app o llave física, contraseñas únicas y un correo de titular alojado fuera del propio dominio. Limita el número de personas con acceso y retira a tiempo a exempleados y agencias. Y vigila la fecha de expiración: un dominio que caduca puede perderse por muy bloqueado que esté. TLDix sigue las fechas de vencimiento de los dominios de tu panel para que una renovación olvidada no anule todo lo demás.

Lista de control del bloqueo de dominios

• clientTransferProhibited activo en todos los dominios que no estés transfiriendo.
• Registry lock en los dominios que soportan tu marca, tu correo y tus pagos.
• Cuentas del registrador con verificación en dos pasos y correo de contacto genérico.
• Códigos de autorización solicitados solo al transferir y nunca compartidos en canales abiertos.
• Sabes si un cambio de contacto activará el bloqueo de 60 días y renuncias a él cuando proceda.
• Los códigos de estado se revisan tras cada cambio y de forma periódica.
• Las fechas de expiración se vigilan con independencia del registrador.