Tu dominio es la llave de tu negocio: cómo comprarlo bien y protegerlo

Casi nadie piensa en su dominio hasta que deja de funcionar. Es ese nombre que pagaste hace años, tunegocio.mx o tunegocio.com, y del que cuelgan dos cosas que no puedes perder: tu página web y tu correo. Si el dominio falla, se cae todo junto. Y si alguien más lo controla, también controla por dónde te llegan los clientes.

A nombre de quién está tu dominio

Esta es la pregunta más importante y la que menos gente sabe contestar. Pongamos el caso de una clínica dental que hace cinco años le pidió su página a un diseñador independiente. Él compró el dominio desde su propia cuenta, con su correo personal, porque así era más rápido. Todo funcionó bien mientras hubo buena relación. Luego la clínica cambió de proveedor, el diseñador dejó de contestar, y nadie tenía la contraseña de la cuenta donde vivía el dominio.

Lo mismo pasa con el sobrino que "sabe de computadoras", con la agencia que cerró o con el exsocio. No hace falta mala fe. Basta con que esa persona pierda su acceso o ya no quiera meterse en el tema.

En los dominios .mx, las políticas generales de NIC México lo dicen sin rodeos: el contacto registrante es el titular y responsable del nombre de dominio. Quien aparezca ahí es, para efectos prácticos, el dueño. Por eso el registrante debe ser tu empresa o tú como persona física, con un correo que controles y que no dependa de un solo empleado (algo como [email protected] que reenvíe a dos personas funciona bien).

.mx, .com.mx o .com

Para un negocio que vende en México, mi recomendación suele ser simple: registra el .mx como principal y, si puedes, también el .com con el mismo nombre para que nadie más lo tome. El .com.mx sigue siendo válido y mucha gente lo usa, pero el .mx es más corto y más fácil de dictar por teléfono.

Según las políticas de NIC México, el .mx y el .com.mx los puede registrar cualquier persona física o moral, sin requisitos adicionales. Otras terminaciones sí están restringidas: el .org.mx es para organizaciones sin fines de lucro, el .edu.mx para instituciones educativas, el .gob.mx para entidades de gobierno y el .net.mx para proveedores de internet y telecomunicaciones. No intentes registrar un .org.mx para tu empresa porque "suena más serio".

Qué pasa cuando un dominio vence

Un dominio no se compra para siempre. Se renta por uno o varios años, y si no se renueva, deja de funcionar. Así de directo: tu página deja de abrir y los correos que te mandan dejan de llegar.

Para los dominios genéricos como .com, ICANN tiene una política de recuperación de registros vencidos que da algo de margen. El registrador debe mandarte al menos dos avisos, uno como un mes antes y otro como una semana antes del vencimiento. Después de vencer, debe permitirte renovar durante un tiempo, y en los últimos días de ese plazo tiene que cortar la resolución DNS para que notes que algo pasa. Si aun así el dominio se borra, el registro debe ofrecer un periodo de redención de 30 días en el que todavía puedes recuperarlo, pagando la tarifa de redención que el registrador debe tener publicada.

Con los .mx no cuentes con ese colchón. Las políticas de NIC México indican que la eliminación es automática cuando concluye la cobertura del dominio. Existe la restauración, con costo, pero depende de tu registrador y de los tiempos. No es un plan, es un salvavidas.

¿Y a dónde llegan esos avisos de vencimiento? Al correo del contacto registrado. Si ese correo es el de alguien que ya no trabaja contigo, no te va a enterar nadie. Por eso las tres cosas van juntas: renovación automática activada, una tarjeta vigente en la cuenta y un correo de contacto que alguien lea.

La cuenta del registrador es una caja fuerte

Quien entra a la cuenta donde está tu dominio puede cambiar a dónde apunta tu página, redirigir tu correo o transferir el dominio a otro lado. Es, literalmente, la llave de todo lo demás. Y muchas veces la protege una contraseña reciclada.

Lo mínimo es activar la verificación en dos pasos (2FA), de preferencia con una app de autenticación y no solo por SMS. Lo segundo es confirmar que el dominio tenga activado el bloqueo de transferencia, que en la jerga técnica aparece como clientTransferProhibited. ICANN, en su guía de códigos de estatus, explica que este estatus ayuda a prevenir transferencias no autorizadas por secuestro o fraude. Pídele a tu registrador que te confirme que está activo.

Si te interesa el panorama más amplio de cómo se protege un sitio, lo cuento en por qué asegurar tu página web.

El DNS, explicado sin tecnicismos

El DNS es la agenda que le dice a internet a dónde ir cuando alguien escribe tu dominio. Cada renglón de esa agenda es un registro, y hay cuatro que te conviene reconocer. Las definiciones las tomo de la documentación de Cloudflare.

• A: une tu dominio con la dirección IP del servidor donde vive tu página.
• CNAME: hace que un nombre sea un alias de otro, por ejemplo www que apunta a tu dominio principal o a tu proveedor de tienda en línea.
• MX: dice a qué servidor se entrega el correo de tu dominio. Sin él, no te llega correo.
• TXT: guarda texto. Suena aburrido, pero ahí viven las verificaciones de Google y Microsoft y, sobre todo, la configuración de SPF, DKIM y DMARC.

El problema típico no es un hackeo. Es alguien con buenas intenciones que entra a cambiar una cosa y borra otra. Mueves la página a un hosting nuevo, el asistente de configuración "limpia" los registros viejos y se lleva el MX. Tu sitio nuevo se ve precioso y llevas dos días sin recibir un solo correo. Antes de tocar el DNS, saca una captura de cómo estaba. Parece obvio. Casi nadie lo hace.

SPF, DKIM y DMARC: quién puede mandar correo a tu nombre

El correo electrónico se diseñó hace décadas sin pensar en verificar al remitente. Sin configuración adicional, cualquiera puede mandar un mensaje que diga "De: [email protected]". Esa es la base de un fraude muy común: el correo que parece de tu empresa o de tu proveedor avisando que "cambiamos de cuenta bancaria, por favor deposita aquí".

No es un problema menor. El reporte 2024 del IC3 del FBI registró 21,442 denuncias por fraude de correo empresarial (business email compromise) solo en Estados Unidos, con pérdidas reportadas por más de 2,770 millones de dólares. No todo ese fraude se hace suplantando dominios, pero ponérsela fácil al estafador no tiene sentido. Si quieres ver cómo la IA está haciendo estos correos más creíbles, lo explico en nuevas amenazas de ciberseguridad con IA.

Las tres siglas trabajan en equipo. SPF es una lista publicada en tu DNS con los servidores autorizados para mandar correo de tu dominio. DKIM agrega una firma digital a cada mensaje, para que quien lo recibe compruebe que salió de ti y que nadie lo alteró en el camino. DMARC es la regla que amarra todo: le dice al servidor que recibe qué hacer con un correo que dice venir de tu dominio pero no pasa las pruebas.

Según dmarc.org, DMARC tiene tres políticas: none (solo observar y recibir reportes), quarantine (tratar el correo como sospechoso, normalmente mandarlo a spam) y reject (rechazarlo). El camino sensato es empezar en none, leer los reportes para descubrir todos los servicios que mandan correo por ti (tu facturación electrónica, tu CRM, tu tienda en línea) y subir poco a poco hasta reject. Si te saltas ese paso, puedes acabar bloqueando tus propias facturas.

Gmail y Yahoo ya lo exigen

Desde el 1 de febrero de 2024, los lineamientos para remitentes de Gmail piden que todo el que mande correo a cuentas de Gmail tenga al menos SPF o DKIM. Quien manda más de 5,000 mensajes al día debe tener los tres: SPF, DKIM y DMARC (con política none como mínimo). Yahoo empezó a aplicar requisitos equivalentes para remitentes masivos en la misma fecha.

Tu negocio probablemente no manda 5,000 correos al día. Da igual. Sin esta configuración, tus correos legítimos tienen más probabilidad de caer en spam, y la protección contra suplantación la quieres de todos modos.

HTTPS: el candado ya no es opcional

El certificado SSL/TLS es lo que hace que tu página abra con https y el candado en el navegador. Cifra lo que viaja entre el visitante y tu sitio. Hoy no hay excusa para no tenerlo: Let's Encrypt emite certificados gratuitos y automatizados, y casi cualquier hosting decente los instala y renueva solo.

Lo que sí falla seguido son los detalles. Que tunegocio.mx funcione pero www.tunegocio.mx no. Que la versión sin https no redirija a la segura. Que tengas el .com y el .mx pero uno no lleve al otro. Cada uno de esos huecos confunde a tus clientes y, de paso, a los buscadores y a los asistentes de IA que leen tu sitio, tema que toco en cómo hacer tu página visible para la IA.

Una lista corta para revisar esta semana

1. 01Confirma que el titular del dominio eres tú o tu empresa, y que tienes acceso a la cuenta del registrador.
2. 02Activa la renovación automática y revisa a qué correo llegan los avisos.
3. 03Activa la verificación en dos pasos y el bloqueo de transferencia.
4. 04Guarda una copia de tus registros DNS actuales.
5. 05Revisa que tengas SPF, DKIM y DMARC publicados y que tus correos pasen las pruebas.
6. 06Prueba tu sitio con y sin www, con y sin https, y confirma que todo termine en la misma dirección.

Si después de leer esto te diste cuenta de que no sabes a nombre de quién está tu dominio, no eres el único. Es de lo más común. Lo podemos resolver de dos formas: con nuestro servicio de registro de dominios lo registramos a tu nombre y dejamos configurado todo lo demás (DNS, correo con SPF, DKIM y DMARC, certificado SSL y redirecciones), o revisamos tu configuración actual y te decimos qué corregir. Si además quieres blindar el sitio completo, eso entra en seguridad web.