Seguridad DNS para empresas: cómo evitar el secuestro de su dominio con bloqueo del registrador, DNSSEC y más

Su nombre de dominio es uno de los activos en línea más valiosos de su empresa. Quien controla la cuenta del registrador y el DNS controla a dónde apunta su sitio web, a dónde se entrega su correo y qué mensajes de restablecimiento de contraseña le llegan. Protegerlo toma una tarde. Asegúrese de que la cuenta del registrador sea de la empresa y protéjala con una MFA sólida. Active el bloqueo del registrador (registrar lock) y pregunte por el bloqueo del registro (registry lock) para su dominio principal. Active la renovación automática con un método de pago válido. Active DNSSEC si sus proveedores lo admiten. Después, audite sus registros DNS, elimine todo lo que apunte a servicios que ya no usa y agregue un registro CAA para limitar quién puede emitir certificados para su nombre.

Por qué los atacantes van tras los dominios

Cuando CISA ordenó a las agencias federales de EE. UU. actuar contra la manipulación del DNS en 2019 (Directiva de Emergencia 19-01, cerrada en enero de 2026), describió un patrón que se aplica a cualquier empresa:

1. El atacante entra a una cuenta que puede modificar los registros DNS, normalmente con credenciales robadas.
2. Cambia registros como A, MX o NS para que apunten a una infraestructura que él controla.
3. Obtiene un certificado válido para su dominio, de modo que los visitantes no ven ninguna advertencia en el navegador.

El resultado puede ser un sitio web clonado, correo interceptado o restablecimientos de contraseña enviados al atacante. Nada de eso requiere hackear sus servidores, solo la cuenta que controla su dominio.

Paso 1: Sepa quién es dueño del acceso al registrador

Este es el punto débil más común, y no es técnico. Responda estas preguntas por escrito:

• ¿Qué registrador tiene el dominio y qué proveedor aloja el DNS? A menudo son empresas distintas, por ejemplo un registrador más Cloudflare o su proveedor de hosting.
• ¿De quién es la cuenta? Debe ser una cuenta de la empresa vinculada a un correo corporativo, idealmente un buzón administrativo compartido que la empresa controle. La cuenta personal de un antiguo diseñador web o de un exempleado es un riesgo real.
• ¿El contacto del titular es correcto? Las reglas de renovación de ICANN envían los avisos de vencimiento al correo registrado. Si esa dirección es un buzón abandonado, no verá las advertencias.
• ¿Quién más tiene acceso? Quite a quien ya no lo necesite e incluya el registrador y el proveedor de DNS en su lista de verificación para la salida de empleados.

Paso 2: Proteja las cuentas del registrador y del DNS

• Active la MFA para todos los usuarios del registrador y del proveedor de DNS. La directiva de CISA exigía MFA en todas las cuentas que pueden modificar el DNS y desaconsejaba los códigos por SMS. Use una aplicación autenticadora o, mejor aún, una llave de seguridad o passkey donde el proveedor lo permita. Nuestra guía de MFA explica las opciones.
• Use una contraseña larga y única guardada en el gestor de contraseñas de su equipo.
• Revise las opciones de recuperación. Un atacante que controle el correo o el teléfono de recuperación puede saltarse la contraseña.
• Active las notificaciones de cambios si su proveedor las ofrece, para que las ediciones del DNS y las alertas de inicio de sesión lleguen a más de una persona.
• Limite los tokens de API. Si su proveedor de DNS emite claves de API para automatizaciones, restrínjalas a las zonas y acciones que necesitan y elimine las que no use.

Paso 3: Active el bloqueo del registrador y considere el bloqueo del registro

Los dominios tienen códigos de estado que le indican al registro qué está permitido. Puede ver los códigos de su dominio en una consulta pública, como la herramienta de búsqueda de ICANN.

Estado	Quién lo establece	Qué bloquea
clientTransferProhibited	Su registrador (registrar lock)	Las transferencias a otro registrador
clientUpdateProhibited	Su registrador	Los cambios en el dominio, como los servidores de nombres
clientDeleteProhibited	Su registrador	La eliminación del registro
serverTransferProhibited / serverUpdateProhibited / serverDeleteProhibited	El registro (registry lock)	Las mismas acciones, aplicadas a nivel del registro

• El bloqueo del registrador (como mínimo clientTransferProhibited) suele ser una opción gratuita en el panel de su registrador. Actívelo.
• El bloqueo del registro lo ofrecen algunos registros a través de algunos registradores. Los códigos de nivel servidor tienen prioridad sobre los de cliente, y quitarlos toma más tiempo porque la solicitud pasa por el registro. Esa demora es justamente la idea: una contraseña robada del registrador no basta para mover el dominio ni cambiar sus servidores de nombres. Vale la pena preguntar por él para el dominio que usa su correo.
• Proteja el código de autorización de transferencia (código EPP o auth code). Solicítelo solo cuando realmente vaya a cambiar de registrador.

Paso 4: Nunca deje que el dominio venza

Un dominio vencido deja sin servicio su sitio web y su correo, y con el tiempo otra persona podría registrarlo. Según la Política de Recuperación de Registros Vencidos (ERRP) de ICANN para dominios genéricos como .com:

• Los registradores deben enviar al menos dos recordatorios de renovación antes del vencimiento, aproximadamente un mes y una semana antes.
• Después del vencimiento, el registrador debe interrumpir el DNS del dominio durante un máximo de 8 días antes de eliminarlo, lo que puede detener su sitio web y su correo.
• Los registradores pueden ofrecer un período de gracia de renovación automática de 1 a 45 días. Las condiciones varían según el registrador.
• Después de la eliminación, los registros de dominios genéricos deben ofrecer un Período de Gracia de Redención de 30 días durante el cual puede restaurar el nombre a través de su registrador, normalmente con un cargo adicional.

Qué hacer: active la renovación automática, registre su dominio principal por varios años, mantenga registrada una tarjeta corporativa vigente y mantenga actualizado el correo del titular. Como respaldo, anote la fecha de vencimiento en un calendario compartido.

Paso 5: Active DNSSEC

DNSSEC agrega firmas digitales a sus datos DNS. Los resolvedores que validan DNSSEC pueden entonces detectar respuestas falsificadas, como un intento de envenenamiento de caché, y rechazarlas en lugar de enviar a los usuarios a un servidor falso. No cifra nada y no lo protege si un atacante inicia sesión en su cuenta de DNS y hace cambios "legítimos". Por eso los pasos 1 a 3 van primero.

Activarlo suele requerir dos pasos: habilitar la firma en su proveedor de DNS y luego agregar en su registrador el registro DS que este genera. Algunos proveedores hacen el segundo paso automáticamente cuando también son su registrador.

Tenga cuidado al cambiar de proveedor de DNS. La documentación de Cloudflare, por ejemplo, advierte que si cambia los servidores de nombres mientras un registro DS antiguo sigue en caché, los resolvedores que validan devolverán errores (SERVFAIL) y su dominio puede quedar inaccesible. Planifique el cambio: quite el registro DS antiguo, espere a que venza su TTL, cambie los servidores de nombres y luego active DNSSEC con el nuevo proveedor.

Paso 6: Audite sus registros DNS

Exporte su archivo de zona y revise cada registro con alguien que sepa para qué sirve:

• NS: ¿los servidores de nombres pertenecen a su proveedor de DNS actual?
• A / AAAA: ¿cada dirección IP pertenece a un servidor que usted usa?
• MX y registros TXT de correo: ¿coinciden con su proveedor de correo actual? Nuestra guía de SPF, DKIM y DMARC explica esos registros en detalle.
• CNAME: ¿cada alias apunta a un servicio que todavía paga?
• TXT: elimine los registros de verificación de herramientas que ya no usa, pero conserve los de servicios de los que aún depende.

Repita la revisión al menos una vez al año y después de cualquier migración del sitio web, del hosting o del correo. Vigilar los registros de transparencia de certificados, el registro público de todos los certificados emitidos, también puede alertarle de un certificado para su dominio que usted no solicitó.

Paso 7: Elimine los registros huérfanos antes de que alguien los use

Un registro huérfano (dangling) es una entrada DNS que sigue apuntando a un recurso que usted ya eliminó. Microsoft señala que los registros CNAME son especialmente vulnerables. Supongamos que promo.suempresa.com apunta a una aplicación en la nube, una página de aterrizaje o una tienda en línea que ya canceló. Otra persona podría reclamar ese mismo nombre de recurso y publicar su propio contenido en su subdominio, algo muy útil para el phishing, e incluso obtener un certificado válido.

La prevención es un proceso: cada vez que se da de baja un servicio, elimine primero el registro DNS y mantenga un inventario de para qué sirve cada subdominio.

Paso 8: Agregue un registro CAA

Un registro CAA indica qué autoridades de certificación pueden emitir certificados para su dominio, y las autoridades están obligadas a consultarlo. Sin un registro CAA, cualquier autoridad pública que pueda validar el control del dominio puede emitir uno. Un ejemplo sencillo:

suempresa.com.  CAA 0 issue "letsencrypt.org"

Incluya todas las autoridades que realmente usa, también las que utilicen su proveedor de hosting, su CDN o su plataforma de correo. De lo contrario, la renovación de certificados puede fallar.

Lista de verificación rápida

1. La empresa es dueña de las cuentas del registrador y del DNS, con un correo corporativo.
2. La MFA está activada para todos los usuarios; se evita el SMS siempre que sea posible.
3. El bloqueo del registrador está activado; se ha considerado el bloqueo del registro para el dominio principal.
4. La renovación automática está activada, los datos de pago están al día y la fecha de vencimiento está en un calendario compartido.
5. DNSSEC está activado, con un plan para futuros cambios de proveedor.
6. Los registros DNS se auditaron y se eliminaron los CNAME huérfanos.
7. Un registro CAA indica las autoridades de certificación que usted usa.

Si sospecha que alguien ya modificó su DNS, trátelo como un incidente de seguridad. Nuestra guía sobre las primeras 24 horas después de una brecha es un buen punto de partida.

Core Florida IT revisa la seguridad de dominios y DNS como parte de nuestros servicios de ciberseguridad y correo empresarial para empresas de Miami-Dade y de todo el sur de la Florida. Solicite una evaluación de TI gratuita y comprobaremos quién controla su dominio y qué tan bien está protegido.

Fuentes

• ED 19-01: Mitigate DNS Infrastructure Tampering (CISA)
• EPP Status Codes: What Do They Mean, and Why Should I Know? (ICANN)
• About the Expired Registration Recovery Policy (ICANN)
• DNSSEC: What Is It and Why Is It Important? (ICANN)
• DNSSEC (documentación de Cloudflare)
• Prevent dangling DNS entries and avoid subdomain takeover (Microsoft Learn)
• Certificate Authority Authorization (CAA) (Let's Encrypt)